Eindrapportage risicomanagement. Kwaliteitsonderzoek naar de opzet en werking van risicomanagement

Transcriptie

1 Eindrapportage risicomanagement Kwaliteitsonderzoek naar de opzet en werking van risicomanagement Betreft: Rapportage opzet en werking risicomanagement Uitgebracht door: Rekenkamercommissie gemeente Utrechtse Heuvelrug Datum: 8 oktober 2015

2 Inhoudsopgave 1 Samenvatting Inleiding Aanleiding en achtergrond Ontwikkelingen binnen de gemeente Utrechtse Heuvelrug Onderzoeksvraag Onderzoeksaanpak Documentenstudie Interviews Casuïstiek Zienswijzen Visie op risicomanagement Uitgangspunten Ontwikkelingen in risicomanagement Integraliteit: dubbele focus Betrokkenheid Proces Blauwdruk en rooddruk Normenkader en onderliggende toetspunten Bevindingen Norm 1: Beleidskaders Norm 2: Sturing en beheersing Norm 3: Methodiek weerstandsvermogen Norm 4: Rollen en verantwoordelijkheden Norm 5: Cyclisch karakter van risicomanagement Norm 6: Ondersteunende instrumentaria Casuïstiek Programma Organisatieontwikkeling Programma Openbare Ruimte en Milieu Conclusie Normenkader gaat verder dan het BBV Bouwsteen: integraliteit Bouwsteen: betrokkenheid Bouwsteen: proces Bouwsteen: rooddruk en blauwdruk Rapportage risicomanagement

3 7.2 Levensfase Onderzoeksvraag Aanbevelingen Context Aanbevelingen Bijlagen Bijlage 1 Normenkader Bijlage 2 Bevindingen Bijlage 3 Geraadpleegde bronnen Bijlage 4 Overzicht geïnterviewde personen Bijlage 5 Interviewleidraad Bijlage 6 Artikel 11 Besluit begroting en verantwoording Rapportage risicomanagement

4 1 Samenvatting De Rekenkamercommissie van de gemeente Utrechtse Heuvelrug heeft in 2014, na overleg met vertegenwoordigers van de auditcommissie, besloten om voor een onderzoek uit te voeren naar risicomanagement binnen de gemeente Utrechtse Heuvelrug. De centrale onderzoeksvraag luidt als volgt: In hoeverre is de gemeente Utrechtse Heuvelrug zich bewust van risico s voor de gemeente en geëquipeerd om deze risico s voor de gemeente te herkennen en beheersen? De Rekenkamercommissie heeft gekozen voor een normenkader dat meer omvat dan enkel het Besluit Begroting en Verantwoording (hierna ook: BBV). Het BBV dekt niet alle normen die naar algemeen aanvaarde opvattingen in de wetenschap en in de praktijk tot modern risicomanagement worden gerekend. Daarmee komt het normenkader van het BBV naar de mening van de Rekenkamercommissie niet tegemoet aan de ontwikkelingen in de maatschappij en in het vakgebied. Met de bredere benadering van risicomanagement door de Rekenkamercommissie komen niet alleen de puur financiële risico s in beeld, maar ook de risico s in relatie tot ontwikkelingen zoals de decentralisaties in het sociale domein of de organisatieontwikkeling. Uit het onderzoek blijkt dat het risicomanagement van de gemeente Utrechtse Heuvelrug weliswaar voldoet aan de normen voor risicomanagement van het BBV, maar onvoldoende aan de aanvullende normen die in de visie van de Rekenkamercommissie passen bij modern risicomanagement. Verder blijkt dat bij de gemeente de uitvoering van risicomanagement in de dagelijkse praktijk aanzienlijk achterblijft bij het door de gemeente vastgestelde beleid. Het eindoordeel van de Rekenkamercommissie ten aanzien van de centrale onderzoeksvraag is dan ook dat de gemeente Utrechtse Heuvelrug onvoldoende is toegerust om alle voor haar relevante risico s tijdig te herkennen en adequaat te beheersen. In de visie van de Rekenkamercommissie ligt de primaire verantwoordelijkheid voor de modernisering van het risicomanagement en de verbetering van de uitvoeringspraktijk bij het college en het management van de ambtelijke organisatie. Maar ook de raad kan hieraan bijdragen, door afspraken te maken over de frequentie en inhoud van de informatie over risicomanagement, en door aan de hand van deze informatie actief invulling te geven aan zijn controlerende taak. Tegen deze achtergrond doet de Rekenkamercommissie twee hoofdaanbevelingen: 1. Actualiseer en completeer het huidige risicomanagementbeleid, zodat het enerzijds voldoet aan de normen die gelden voor modern risicomanagement en anderzijds aan de informatie die de raad nodig heeft om zijn controlerende rol daadwerkelijk op te pakken. Met de vaststelling van het geactualiseerde risicomanagementbeleid geeft de raad invulling aan zijn kaderstellende rol en beschikt de organisatie over een geïntegreerd en integraal kader voor modern risicomanagement. Het is de verantwoordelijkheid van de raad om toe te zien op de feitelijke werking van het risicomanagementsysteem en op de voortgang van het verbeterproces. 2. Beleg de primaire verantwoordelijkheid voor de verbetering van de uitvoeringspraktijk rond risicomanagement expliciet bij het management en bewaak dat alle leidinggevenden voor hun eigen afdeling en takenpakket consequent en consistent alle soorten risico s (niet alleen de financiële) inventariseren, actualiseren en beheersen. Benut daarnaast het Programma Organisatieverandering van de gemeente Utrechtse Heuvelrug als katalysator om de uitvoeringspraktijk te verbeteren en het lerende vermogen van de organisatie te versterken. 4 Rapportage risicomanagement

5 2 Inleiding 2.1 Aanleiding en achtergrond In 2004 is in het BBV (Besluit begroting en verantwoording) opgenomen dat gemeenten hun risico s in kaart moeten brengen, om op basis hiervan het weerstandsvermogen te bepalen. Het weerstandsvermogen is de buffer die nodig is om de negatieve effecten van risico s op te vangen. Dit is door veel gemeenten in de periode voor de eerste keer gedaan. Veel gemeenten stoeien nog steeds met dit onderdeel van de planning-en-controlcyclus, onder meer omdat er nog geen vaste standaard bestaat ten aanzien van de verslaggeving omtrent weerstandsvermogen en risicobeheersing. Het BBV stelt weliswaar enige kaders, vooral financieel, maar de concrete invulling ligt verder bij de gemeente zelf, terwijl modern risicomanagement een breder begrip van risico s hanteert dan enkel de financiële risico s. Een risicomanagementsysteem geeft aan hoe een organisatie haar risico s inzichtelijk krijgt, beheerst, monitort en evalueert. Naast een harde kant, in de zin van objectief meetbare afspraken en richtlijnen, is er bij een risicomanagementsysteem ook aandacht nodig voor de zachte kant, oftewel de soft skills. De cultuur van de organisatie moet er een zijn waarin mensen open kunnen praten over risico s. In een gemeentelijk omgeving geldt bovendien dat risico s ook onderwerp van gesprek kunnen of moeten zijn voor het college van burgemeester en wethouders (B&W) en de gemeenteraad. Veranderingen in de omgeving van de gemeente en de organisatie hebben ertoe geleid dat het risicomanagement de afgelopen jaren een (nog) grotere rol is gaan spelen, vooral bij (grote) projecten en programma s. Daarmee is de noodzaak tot gesprekken over risico s zowel ambtelijk als bestuurlijk toegenomen. 2.2 Ontwikkelingen binnen de gemeente Utrechtse Heuvelrug De Rekenkamercommissie (hierna ook: RkC) van de gemeente Utrechtse Heuvelrug heeft op 17 november 2014, na overleg met vertegenwoordigers van de auditcommissie, besloten om voor een onderzoek uit te voeren naar risicomanagement binnen de gemeente Utrechtse Heuvelrug. Deloitte heeft in opdracht van en onder verantwoordelijkheid van de Rekenkamercommissie dit onderzoek naar risicomanagement uitgevoerd. Aanleiding tot dit besluit van de RkC waren onder meer de omvangrijke ontwikkelingen die binnen de gemeente worden ingezet. Het gaat hier bijvoorbeeld om de decentralisaties/transformaties, maar ook om partnerships met andere (deel)gemeenten (in het kader van zorg of anderzijds) en de lopende reorganisatie, die alle gelederen van de organisatie raakt. Zowel de vorige accountant (tot 1 januari 2015), de huidige accountant, als de RkC zijn van mening dat een verdere professionalisering van het risicomanagement zich niet alleen moet richten op de zogenaamde hard controls, maar ook op elementen van cultuur en gedrag, de zogenaamde soft controls. Risicomanagement is namelijk ook mensenwerk. De Nederlandse Beroepsorganisatie van Accountants stelt in de publieke managementletter van november 2013 dat gedrag in hoge mate het succes van risicomanagement bepaalt en dat in de praktijk het accent teveel ligt op harde beheersmaatregelen. 5 Rapportage risicomanagement

6 3 Onderzoeksvraag De centrale onderzoeksvraag luidt als volgt: In hoeverre is de gemeente Utrechtse Heuvelrug zich bewust van risico s voor de gemeente en geëquipeerd om deze risico s voor de gemeente te herkennen en beheersen? In de context van deze centrale onderzoeksvraag heeft de Rekenkamercommissie de volgende deelvragen geformuleerd: 1. Beleid Welke visie en beleid heeft de gemeente ten aanzien van risicomanagement? Wat is de risicobereidheid van de gemeente? Wat zijn de grootste risico's binnen de gemeente en hoe gaat de gemeente hiermee om? Is er een systeem van risicomanagement en in hoeverre is dit effectief en efficiënt? Is er een onderscheid in dit kader tussen rollen en verantwoordelijkheden in het kader van risicomanagement voor de Raad, het College en de ambtelijke organisatie (en binnen de ambtelijke organisatie)? Hoe is de verantwoordelijkheid voor het in beeld brengen en houden van risico's belegd? Op welke wijze is risicomanagement geborgd en is dit geëvalueerd? Wat zijn de resultaten? 2. Organisatie en soft skills In hoeverre is er bewustwording van risico s bij de Raad, College en ambtelijke organisatie? Hoe blijkt dit en hoe is dit in de organisatiestructuur geborgd? Hoe zijn taken en verantwoordelijkheden toebedeeld? Zijn er specialisten op het gebied van risicomanagement binnen de ambtelijke organisatie, intern/extern en vinden trainingen op dit onderwerp plaats? Hoe leeft het risicobewustzijn binnen de ambtelijke organisatie? In hoeverre is de gemeente voorbereid op grote calamiteiten? Wordt aan scenarioplanning gedaan? Waar liggen risico s en kwetsbaarheden bij de gemeente (AO/IC, cultuur en gedrag, eigenaarschap versus taken en verantwoordelijkheden)? 3. Informatievoorziening Hoe is de informatievoorziening georganiseerd naar de Raad, het College en de ambtelijke organisatie? Is de informatievoorziening structureel en systematisch georganiseerd? In hoeverre is de informatievoorziening effectief voor de raad om haar kaderstellende en controlerende taak uit te kunnen voeren? 4. Casuïstiek Is er een representatieve casus met accent op risicomanagement? Waar is binnen de gemeente goed om gegaan met risico's? Waar kan de gemeente in het kader van risicobeheersing leren? Een raadslid heeft een aanvullende vraag gesteld. Deze persoon wil door middel van het onderzoek graag inzicht verkrijgen in de beheersmaatregelen die de gemeente ziet en probeert te benutten. Dit mede gezien de controlerende rol van de raad, die beter kan worden uitgeoefend aan de hand van bepaalde informatie. 6 Rapportage risicomanagement

7 Een deelaspect hierbij is of de risico s getalsmatig correct worden geteld, in relatie tot het benodigde weerstandsvermogen (ook bij mutaties, zoals het verdwijnen, ontstaan of toenemen van risico s). Een ander aspect betreft de vraag welke risico s de gemeente niet aangaat, omdat er daarvoor onvoldoende ruimte is in de weerstandscapaciteit. Het onderzoek heeft als doel om, naast het optekenen van een retroperspectief beeld, tot praktisch bruikbare aanbevelingen te komen. Hierdoor ontstaat voor de gemeente de mogelijkheid om zelf invulling te geven aan het onderkennen en beheersen van de risico s die voortvloeien uit actuele ontwikkelingen bij de gemeente (bijvoorbeeld bezuinigingen, decentralisaties en samenwerkingsverbanden). Het veldwerk voor het onderzoek is uitgevoerd door Deloitte Consulting. De onderzoeksperiode beslaat de jaren 2013 en Rapportage risicomanagement

8 4 Onderzoeksaanpak Centraal bij het uitvoeren van dit onderzoek staat een normenkader, aan de hand waarvan de meting en beoordeling plaatsvinden. Dit normenkader is door de Rekenkamercommissie in overleg met Deloitte vastgesteld. In hoofdstuk 2 wordt een uitgebreide toelichting gegeven op dit kader. Een overzicht van de beoordelingscriteria en de toetspunten binnen dit kader is opgenomen in bijlage 1. Om het risicomanagementsysteem van de gemeente Utrechtse Heuvelrug te kunnen toetsen aan het normenkader, is de selectie van een passende onderzoeksmethode voor het verzamelen van informatie een belangrijk onderdeel. In het voorliggende onderzoek zijn twee gebruikelijke dataverzamelingsmethoden gecombineerd, namelijk documentenstudie en interviews. De beide dataverzamelingsmethoden zijn met elkaar verbonden door het toepassen van een cascade. Dit houdt in dat de bevindingen en resultaten van de ene methode worden gebruikt als input voor de andere methode. Daarnaast zijn de bevindingen en resultaten van beide onderzoeksmethodieken geanalyseerd op consistentie. Op deze wijze kan een concreet, accuraat en realistisch beeld worden verkregen van het risicomanagementsysteem binnen de gemeente. 4.1 Documentenstudie De documentenstudie heeft als doel om inzicht te krijgen in de visie op risicomanagement (beleid), maar evenzeer in de opzet, werking en evaluatie van het risicomanagementsysteem in de gemeente Utrechtse Heuvelrug. Voor het onderzoek zijn verschillende documenten bestudeerd uit de periode september 2008 tot juli Een overzicht van de gebruikte documenten is opgenomen in bijlage Interviews Aan de hand van de bevindingen van de documentenstudie (niet gerelateerd aan de casuïstiek) is een interviewleidraad opgesteld, die is weergegeven in bijlage 5. Het doel van het interviewonderzoek is uitdieping van de bevindingen uit de documentenstudie, om een meer concreet, accuraat en betrouwbaar beeld te verkrijgen. Daarnaast zijn interviews zeer geschikt om een goed beeld te krijgen van de zachte kanten van het risicomanagementsysteem. Bij de interviews is er in eerste instantie uitgegaan van de volgende interviewprofielen: College van B&W. Directie en managementteam. Enkele project- en programmaleiders/-managers. (Project)controller(s) Aselect gekozen medewerkers. Alle interviews zijn gehouden door twee onderzoekers en een lid van de Rekenkamercommissie. Van elk interview is een verslag gemaakt. Deze interviewverslagen zijn ter verificatie en vaststelling teruggelegd bij de gesprekspartners. De vastgestelde verslagen hebben vervolgens als basis gediend voor de bevindingen. In bijlage 4 is de lijst met geïnterviewde personen opgenomen. De vastgestelde interviewverslagen zijn vervolgens gebruikt bij het opstellen van de bevindingen. Tot slot is er een raadspanel georganiseerd, waarvoor alle raadsleden zijn uitgenodigd. Dit gesprek, waarbij zeven raadsleden aanwezig waren, heeft plaatsgevonden op 23 juni Rapportage risicomanagement

9 4.3 Casuïstiek Na de initiële documentenstudie en de interviews is er een verdiepend bureauonderzoek uitgevoerd, toegespitst op enkele geselecteerde casussen, namelijk de casus Programma Openbare Ruimte en Milieu en de casus Programma Organisatieontwikkeling. Waar mogelijk zijn hierbij eerdere bevindingen opnieuw getoetst. De documenten die ten behoeve van de geselecteerde casussen zijn bestudeerd, hebben betrekking op de P&C-cyclus; specifiek de invulling en opvolging van prestatie- en verantwoordingsafspraken. Er is gekozen voor een programma, omdat dit een goed beeld geeft van de werkwijze binnen de gemeente. Daarnaast is er als project gekozen voor de organisatieontwikkeling. De reden hiervoor is geweest dat het een vrij recent project betreft, dat leeft in de organisatie en waarvan men hoge verwachtingen heeft op het gebied van de positieve veranderingen binnen de organisatie. De organisatieontwikkeling heeft ook een nauwe relatie met de ontwikkeling van het risicomanagement. Soft skills zijn namelijk een fundamenteel onderdeel van de organisatieontwikkeling en het risicomanagement. 4.4 Zienswijzen De Rekenkamercommissie heeft de nota van bevindingen aan de ambtelijke organisatie aangeboden, die hierbij de mogelijkheid heeft gehad om de rapportage te controleren op feitelijke onjuistheden. Deze feitelijke onjuistheden zijn gecorrigeerd in de definitieve rapportage. Vervolgens is door de Rekenkamercommissie het definitieve rapport aangeboden aan het college van burgemeester en wethouders. De reactie van het college wordt integraal opgenomen in deze rapportage. Naar aanleiding van de reactie van het college zal de Rekenkamercommissie een nawoord schrijven. 9 Rapportage risicomanagement

10 5 Visie op risicomanagement 5.1 Uitgangspunten De centrale onderzoeksvraag is of de opzet en werking van de huidige risicomanagementsystematiek kwalitatief goed zijn en waar zich eventueel verbeterpunten bevinden. De basis voor het onderzoek is het risicomanagementsysteem zoals dat door de gemeente Utrechtse Heuvelrug is vastgesteld. De opzet en werking hiervan worden getoetst aan een methodologisch verantwoord referentiemodel 1. Het college van B&W is verantwoordelijk voor de invulling van het beleid en voor het toezicht op een adequate uitvoering van risicomanagement door het ambtelijk apparaat. De gemeenteraad controleert of er uitvoering wordt gegeven aan het beleid binnen de door de raad gestelde kaders. Hierbij staan de vier bekende W-vragen centraal: Wat willen wij bereiken? Wat gaan wij daarvoor doen? Wie zijn daarbij betrokken? Wat mag het kosten? Figuur 1 Het risicomanagementsysteem binnen een gemeente Verantwoording en informatieverstrekking zijn nodig om risico s kunnen beheersen en waar nodig bij te sturen en toezicht te houden op een doelmatige en doeltreffende uitvoering van het beleid. Risicomanagement is in deze visie geen doel op zichzelf, maar meer een middel om vanuit een gemeenschappelijk referentiekader op gestructureerde wijze om te gaan met het beheersen van risico s in relatie tot organisatie- en/of beleidsdoelstellingen vanuit de ambitie het benodigd weerstandsvermogen zo klein mogelijk te houden. Anders gezegd zal bij gelijkblijvende ambities door een goede beheersing de benodigde weerstandscapaciteit kunnen worden verkleind. 1 Het referentiemodel is ontwikkeld door Deloitte Consulting B.V. 10 Rapportage risicomanagement

11 Een effectief risicomanagement draagt in deze visie bij aan het behalen van de gemeentelijke doelstellingen. Risicomanagement is aldus geen remmende factor, maar een manier om het realiseren van de doelen te bevorderen. In de verbinding van doelstellingen en risico s worden de sturing en beheersing samengevoegd. Dit is gevisualiseerd in figuur 2. Figuur 2 Een weergave van risicomanagement gekoppeld aan de organisatiedoelstellingen Risicomanagement is binnen de gehele organisatie ingebed als onderdeel van de P&C-cyclus en/of de beleidscyclus en betreft een proactief en continu proces. De cyclus in het proces moet er aan bijdragen dat het risicobewustzijn op alle niveaus binnen de gemeente tot ontwikkeling komt. 5.2 Ontwikkelingen in risicomanagement Risicomanagement is een relatief jong vakgebied, dat volop in de maatschappelijke belangstelling staat; een vakgebied ook, dat nog in ontwikkeling is. In een rapport uit november 2009 wordt zelfs geconcludeerd dat risicomanagement nog in de kinderschoenen staat. Voor de ontwikkeling van het vakgebied risicomanagement zijn het raamwerk Enterprise Risk Management van COSO (september 2004) en de ISO-norm (december 2009) van het Nederlands Normalisatie-instituut richtinggevend. Hierbij is een ontwikkeling zichtbaar in de richting van integraal en geïntegreerd risicomanagement. De voortdurende ontwikkeling van het vakgebied maakt het niet gemakkelijk om risicomanagement te implementeren in de gemeentelijke organisatie. Er is namelijk niet één methodiek die op alle organisaties in alle ontwikkelingsfasen toepasbaar is. De uitdaging is om de bewegingen in het vakgebied te onderkennen en risicomanagement, in eigen tempo en naar eigen maat, te blijven ontwikkelen binnen de eigen organisatie. Dit laat onverlet dat in elk risicomanagementmodel globaal vier onderdelen kunnen worden onderscheiden (zie figuur 3). Binnen elk van deze vier onderdelen zijn ontwikkelingen te onderkennen, die hier kort worden toegelicht. 11 Rapportage risicomanagement

12 Figuur 3 De vier bouwstenen van modern risicomanagement Integraliteit: dubbele focus Modern risicomanagement hanteert een breed begrip van de term risico s. Daar waar in het verleden de aandacht eerst en vooral uitging naar risico s die leiden tot financiële schade, zoals nog steeds het geval is in het BBV, is het risicobegrip gaandeweg verbreed naar de risico s die meer indirect tot schade kunnen leiden. Met deze verbreding van het risicobegrip is de focus in de risicobeheersing verschoven van het beperken van schade door het afsluiten van verzekeringen of het aanhouden van voldoende weerstandsvermogen naar het verminderen van schade door het voorkomen dat risico s optreden. Verder is het risicobegrip verbreed doordat er meer nadrukkelijk een verbinding wordt gemaakt met de organisatiedoelstellingen. Risicomanagement heeft daardoor een dubbele focus gekregen; het beschermen van de bezittingen en kostbaarheden (waardebehoud) van een organisatie, maar ook het bijdragen aan het bereiken van de doelstellingen van de organisatie (waardecreatie). In dit perspectief worden risico s breed gedefinieerd als: gebeurtenissen die positief of negatief van invloed kunnen zijn op de organisatie en haar doelstellingen Betrokkenheid De verbreding van het risicobegrip, van waardebehoud naar waardecreatie, betekent dat risicomanagement in toenemende mate in alle aspecten van de organisatie wordt geïntegreerd - in bestuur en management, in strategie en planning, in beleid, in waarden en cultuur, en in rapportages en systemen (en daarmee in de P&C-cyclus). Elke leidinggevende zou zich verantwoordelijk moeten voelen voor het managen van risico s, omdat hij of zij alleen op die manier de doelstellingen van zijn of haar afdeling kan behalen. De verbreding van het risicobegrip heeft tevens gevolgen voor de betrokkenheid van het toezicht bij risicomanagement. In de huidige opvattingen over good governance is immers ook het toezicht betrokken bij het bepalen van de doelen en het beleid van de organisatie. En dus verbreedt de taak van het toezichthoudende orgaan (zoals een gemeenteraad) zich van toezicht op de interne risicobeheersings- en controlesystemen naar betrokkenheid bij de identificatie en prioritering van de aan de strategie verbonden risico s. 12 Rapportage risicomanagement

13 5.2.3 Proces Risico s in verband met het beschermen van de waarden van de organisatie, maar zeker ook en in versterkte mate risico s die zijn gerelateerd aan het bereiken van de doelstellingen, zijn aan veranderingen onderhevig. Risico s bewegen als het ware mee met de ontwikkelingen in de organisatie en in de omgeving van de organisatie. Daarmee is risicomanagement een dynamisch proces. De dynamiek van risicomanagement ziet zowel op een regelmatige actualisatie van de risico s en van de beheersingsmaatregelen, alsook op frequente evaluatie en bijstelling van de risicomanagementorganisatie wat betreft taken en verantwoordelijkheden, beheersing, informatie en rapportage. Er is daardoor een verschuiving zichtbaar van incidenteel naar structureel risicomanagement. Er moet sprake zijn van een proces waarin structureel en consistent de risico s en kansen worden beheerd, om er met een redelijke mate van zekerheid voor te kunnen zorgen dat de doelen van de organisatie worden gehaald Blauwdruk en rooddruk Een vierde aspect in de ontwikkeling van modern risicomanagement is van recente datum. Het gaat dan om een verschuiving van de aandacht; van alleen de blauwdruk naar ook de rooddruk van risicomanagement. De nadruk in ERM en ISO ligt meer op de structuur en de techniek van risicomanagement. De laatste jaren wordt echter duidelijk dat risicomanagement ook mensenwerk is; en dat organisatiecultuur en competenties van medewerkers evenzeer het succes van risicomanagement bepalen. 5.3 Normenkader en onderliggende toetspunten Centraal staat in het onderzoek naar de doelmatigheid en doeltreffendheid van het risicomanagementsysteem van de gemeente Utrechtse Heuvelrug het normenkader aan de hand waarvan meting en beoordeling plaatsvinden. Artikel 11 Besluit begroting en verantwoording (BBV) provincies en gemeenten vormt de formele basis voor risicomanagement. Het BBV hanteert een traditioneel model en plaatst het risicomanagement vooral in een financieel perspectief, als onderdeel van het weerstandsvermogen. In het BBV is weinig terug te vinden van de professionele en maatschappelijke ontwikkelingen op het vlak van integraal en geïntegreerd risicomanagement, zoals in paragraaf 5.2 is toegelicht. Het onderzoek van de Rekenkamercommissie heeft tot doel om rond risicomanagement niet alleen een retrospectief beeld te schetsen, maar ook praktisch bruikbare en toekomstgerichte aanbevelingen te doen. De RkC heeft gekozen voor een normenkader en voor toetspunten die meer omvatten dan alleen de kaders die het BBV stelt. Het BBV is nog sterk gericht op het voorkómen van financiële schade en het zorgen voor voldoende weerstandscapaciteit, waar modern risicomanagement meer is gericht op het bereiken van (gemeentelijke) doelen en het managen van risico s die daarbij in de weg staan. Het normenkader dat de Rekenkamercommissie hanteert, raakt dus niet alleen de rechtmatigheid, maar ook de doelmatigheid en de doeltreffendheid van risicomanagement. Hiermee wordt bijvoorbeeld bereikt dat bij actuele ontwikkelingen, zoals de decentralisaties in het sociaal domein, de aandacht niet alleen wordt gericht op de financiële risico s, maar óók - en in samenhang daarmee - op risico s met betrekking tot de kwaliteit van de uitvoering van dergelijke nieuwe taken. De beoordelingscriteria van het gehanteerde normenkader betreffen aldus een praktisch uitvoerbare uitwerking van enerzijds de eisen die het BBV stelt en anderzijds van aspecten die samenhangen met de ontwikkeling in de richting van een integraal en geïntegreerd risicomanagement. In 13 Rapportage risicomanagement

14 totaal telt het normenkader 34 toetspunten; zes hiervan zijn specifiek gericht op het BBV en nog eens zes specifiek op de zachte kant van risicomanagement. De overige toetspunten zijn neutraal geformuleerd, zodat inbreng mogelijk is van aspecten van zowel blauwdruk als rooddruk. Overall is sprake van een adequaat evenwicht tussen de aspecten met betrekking tot risicomanagement vanuit het BBV (schade beperken) én modern risicomanagement (integraal en geïntegreerd), maar ook tussen de harde kant (structuur & techniek, hard controls, blauwdruk) én de zachte kant van risicomanagement (cultuur & competenties, soft controls, rooddruk). 14 Rapportage risicomanagement

15 6 Bevindingen Dit hoofdstuk presenteert de belangrijkste bevindingen per risicomanagementaspect. Centraal in het onderzoek staat het gehanteerde normenkader, zoals weergegeven in bijlage 1. De Rekenkamercommissie heeft gekozen voor een meer omvattend normenkader dan de wettelijke kaders vanuit het BBV. Er is niet alleen sprake van toetspunten in verband met de wettelijke eisen van het BBV, maar ook van criteria die inzicht geven in de ontwikkeling naar een integraal en geïntegreerd risicomanagement, en die gerelateerd zijn aan de zachte kant van risicomanagement. Per norm zijn de belangrijkste bevindingen weergegeven. In bijlage 2 zijn de detailbevindingen beschreven, op basis van de individuele normen en onderliggende toetspunten. 6.1 Norm 1: Beleidskaders De eerste norm ziet op volledige, actuele en transparante beleidskaders. Onderdeel van deze norm is ook in dat het beleid afspraken bevat over de informatievoorziening en de communicatie aan de gemeenteraad en binnen de gemeente en dat in het beleid de gewenste risicocultuur (doen en laten) en risicobereidheid zijn geëxpliciteerd en leven bij raad, college en ambtelijke organisatie. De geldende wet- en regelgeving over risicomanagement is vastgelegd in artikel 11 van het Besluit begroting en verantwoording. Volgens dit artikel moet de paragraaf weerstandsvermogen en risicobeheersing bestaan uit een inventarisatie van de weerstandscapaciteit en de risico s en moet er worden ingegaan op het beleid omtrent de weerstandscapaciteit en de risico s. De gemeente Utrechtse Heuvelrug stelt in de financiële verordening in aanvulling op het BBV dat de paragraaf inzicht moet verschaffen in de mate waarin schade als gevolg van risico s met de weerstandscapaciteit kan worden opgevangen en welke ontwikkelingen er zijn ten opzichte van voorgaande rapportages. Volgens de financiële verordening moet het beleid eens per vier jaar worden geactualiseerd. De kadernota geeft het beleid omtrent risicomanagement weer. Deze nota is vastgesteld door de raad, op 28 april Dit beleid verschaft gehanteerde definities, doelstellingen, kaders en aanknopingspunten om met de ratio weerstandsvermogen om te gaan. Het beleid van de gemeente Utrechtse Heuvelrug geeft in mindere mate inzicht in de beschikbare middelen en concrete beheersmaatregelen. Volgens de eigen financiële verordening zou de kadernota in de eerste helft van 2015 geactualiseerd moeten worden. De meest recente kadernota is van 22 maart Uit de interviews is naar voren gekomen dat er momenteel niet aan een nieuwe kadernota wordt gewerkt. Volgens verschillende geïnterviewden geschiedt actualisering van kadernota s meestal wanneer er een vraag ontstaat en is deze actualisering aldus niet in een bestaande cyclus opgenomen. De paragraaf weerstandsvermogen en risicobeheersing in de gemeentelijke stukken gaat in op de definitie van weerstandsvermogen en op de relatie tussen de benodigde en de beschikbare weerstandscapaciteit. Het benodigde weerstandsvermogen is gebaseerd op alle risico s, waarbij alleen de top-10 van belangrijkste financiële risico s wordt weergegeven in de risicoparagraaf. De benodigde weerstandscapaciteit komt tot stand door middel van een Monte Carlo-simulatie. Hierbij wordt een inschatting gemaakt van de kans en de verwachting dat een risico zich voordoet. De paragraaf voldoet daar mee aan de door het BBV gestelde eisen. De paragraaf voldoet niet aan de door Utrechtse Heuvelrug gestelde additionele eisen, aangezien deze geen verbinding legt tussen de risico s en de (mogelijke) beheersmaatregelen en niet ingaat op ontwikkelingen. 15 Rapportage risicomanagement

16 De gemeentelijke kadernota hanteert een breed risicobegrip, legt een relatie tussen het voorkomen van een risico en beleidsdoelstellingen en stelt dat er een actualisatie van de geformuleerde doelstellingen moet plaatsvinden. Echter, uit de documenten en interviews blijkt dat het in de praktijk vooral om een financieel risicobegrip gaat. De relatie tussen risico s en beleidsdoelstellingen wordt onvoldoende gelegd en het maken van een actualisatie vindt niet structureel plaats. Uitzondering hierop is de MPG. In 2011 is er met het document Hoe zetten wij risicomanagement in de organisatie? een aanzet gegeven tot een verdere implementatie van risicomanagement. Daarnaast is in mei 2014 door de risicocoördinator de conclusie getrokken dat een brede bewustwording ontbreekt. In beide evaluaties van na 2011 stonden actualisering en doorontwikkeling centraal. Actualisering van het beleid heeft echter tot op heden niet plaatsgevonden. De opzet van het risicomanagement is bij de afdeling Financiën belegd. De kadernota is binnen de verschillende afdelingen veelal onbekend en de doorvertaling van het kader naar de afdelingen vindt daardoor niet altijd plaats. Verder zijn er afdelingen, zoals de afdeling VPG, die op basis van eigen werkwijzen werken aan risicomanagement. De eigen methodiek is vastgesteld door de directie en wordt structureel gebruikt. 6.2 Norm 2: Sturing en beheersing De tweede norm van het door de Rekenkamercommissie vastgestelde toetsingskader betreft het inventariseren, analyseren, sturen en beheersen van de juiste risico s. De gemeente Utrechtse Heuvelrug kent hiervoor een stappenproces. Technische ondersteuning wordt geleverd door het risicomanagementsysteem NARIS. Dit systeem wordt gedurende het jaar gebruikt om risico s vast te leggen, berekeningen uit te voeren en ratio s uit te rekenen. NARIS is niet bij iedereen in de gemeentelijke organisatie bekend. Binnen de afdeling Vastgoed, Grondzaken en Projecten wordt een ander systeem gehanteerd. Het door deze afdeling gebruikte systeem sluit aan bij de concernrichtlijnen, zodat de risico s uiteindelijk wel kunnen worden verwerkt in NARIS. De inventarisatie van de risico s vindt voornamelijk plaats door middel van standaard rapportageprocedures. Daarnaast worden er risico s aangedragen vanuit het desbetreffende organisatieniveau. Per risico wordt inzicht gegeven in het risicogebied, de risicocategorie, de gevolgcategorie en de risico-oorzaak. Niet altijd is bekend hoe risico s in NARIS terechtkomen en hoe de financiële impact ervan wordt vastgesteld. In de stappen van het risicomanagementproces na de inventarisatie worden risico s voornamelijk vanuit een financieel oogpunt benaderd en wordt de verbinding met de beleidsdoelstellingen niet zichtbaar gemaakt. De analyse van de geïnventariseerde risico s vindt door de afdeling Financiën plaats. Hierbij worden de kans van voorkomen, de financiële impact en een invloedpercentage ingeschat. Over deze analyse vindt niet of nauwelijks communicatie plaats met de risico-eigenaren (de afdelingshoofden). Hoewel het gemeentelijke beleidskader regelmatige actualisatie van de geïnventariseerde risico s voorschrijft, wordt niet vastgesteld dat dit in de praktijk consequent plaatsvindt. Iets soortgelijks geldt voor de beheersing van risico s als onderdeel van het stappenproces. De gemeentelijke kadernota voorziet in diverse risk responses, die overigens niet terugkomen in andere documenten. Uit het onderzoek blijkt dat in de praktijk voor de meeste risico s geen beheersmaatregelen worden opgesteld. Evenmin zijn er beheersmaatregelen in NARIS vastgelegd. 16 Rapportage risicomanagement

17 Gevolg hiervan is dat er geen relatie kan worden gelegd tussen beheersmaatregelen en de benodigde weerstandscapaciteit. Wanneer risico s zich ondanks de beheersmaatregelen toch voordoen, worden deze allereerst afgedekt door de incidentele weerstandscapaciteit, zoals de algemene reserve van de gemeente. 6.3 Norm 3: Methodiek weerstandsvermogen De derde norm is een heldere onderbouwing, aan de hand van de methodiek van het weerstandsvermogen. Hierbij staan centraal de opbouw en onderbouwing van de beschikbare en benodigde weerstandscapaciteit. Het weerstandsvermogen betreft een kwantitatieve uitspraak over de verhouding tussen de risico s die de gemeente loopt en de middelen die beschikbaar zijn om deze risico s op te vangen. Vanuit de raad van de gemeente Utrechtse Heuvelrug is een weerstandsvermogen van minimaal 1,0 als voldoende geïdentificeerd. De beschikbare weerstandscapaciteit in relatie tot de benodigde weerstandscapaciteit voldoet aan deze ratio. De ratio is door de raad in de afgelopen jaren niet bijgesteld. Hieronder is de ratio voor enkele jaren weergegeven: Ratio Programmabegroting 2,08 1,29 1,37 Jaarrekening 1,86 1,26 Nog niet bekend Tabel 1 Ratio s ten behoeve van het weerstandsvermogen van de gemeente Utrechtse Heuvelrug De benodigde weerstandscapaciteit wordt berekend op basis van het risicoprofiel van alle financiële risico s, waarbij ervan uit wordt gegaan dat nooit alle risico s zich én tegelijkertijd én in maximale omvang voordoen. Bij de berekening heeft de gemeente Utrechtse Heuvelrug gekozen voor een zekerheidspercentage van 90%. In de periode is er een daling zichtbaar van de benodigde middelen ter afdekking van de belangrijkste financiële risico s. Minimaal jaarlijks, en in de praktijk tweemaal per jaar, is er een uitvraag van de risicocoördinator betreffende de risico s. Aan de hand hiervan worden de risico s geactualiseerd en daarmee de benodigde weerstandscapaciteit. De middelen die beschikbaar zijn om risico s op te vangen en die gezamenlijk de beschikbare weerstandscapaciteit vormen, bestaan uit zowel incidentele als structurele gelden, en zijn hoofdzakelijk opgebouwd uit de reserves van de gemeente. De opbouw van de beschikbare middelen voldoet aan de wet- en regelgeving. Naast reserves zijn er ook middelen meegenomen, zoals onbenutte belastingcapaciteit, die niet direct zijn in te zetten bij calamiteiten. Er vindt interactie plaats met de overige toezichtfuncties, zoals de auditcommissie en de accountant. In zijn managementletter gaat de accountant in op diverse risico s. Daarnaast zijn door de gemeente eerdere bevindingen en aanbevelingen van de accountant ten aanzien van risicomanagement opgepakt. Een groot deel van deze acties is binnen het programma Organisatieontwikkeling uitgewerkt. De Rekenkamercommissie heeft niet kunnen toetsen of de acties ook daadwerkelijk zijn uitgevoerd. 6.4 Norm 4: Rollen en verantwoordelijkheden De vierde norm houdt in dat de rollen, taken, verantwoordelijkheden en bevoegdheden helder zijn en worden uitgevoerd. Deze norm gaat in op de besturingsfilosofie, onderscheid in de rollen en de voortrekkersrol van het bestuur en het management. In de gemeentelijke kadernota is bepaald dat de basisverantwoordelijkheid voor de uitvoering van het risicomanagement ligt bij de afdelingshoofden en de projectmanagers. De meeste afdelingshoofden zijn zich hiervan bewust, maar risico s worden veelal niet expliciet gemaakt in rapportages 17 Rapportage risicomanagement

18 en/of documenten. De technische ondersteuning vanuit NARIS bevat informatie waarmee het concern een integraal overzicht zou moeten hebben van de laatste stand van zaken, maar de informatie in het systeem is onvolledig, wegens het ontbreken van een overzicht van de beheersmaatregelen. Naast de basisverantwoordelijkheid van afdelingshoofden en projectmanagers is met betrekking tot risicomanagement bij één van de functionarissen de rol van risicocoördinator op concernniveau opgenomen in de functieomschrijving. Deze persoon is verantwoordelijk voor de implementatie, uitvoering en inbedding van risicomanagement bij de gemeente Utrechtse Heuvelrug. De risicocoördinator is tevens het aanspreekpunt voor de directie, het college van B&W en de raad. De risicocoördinator communiceert hoofdzakelijk met de afdelingshoofden. Uit de interviews komt ook naar voren dat de wisselwerking tussen de risicocoördinator en de afdelingen voor verbetering vatbaar is. Dit geldt temeer omdat de taken, verantwoordelijkheden en bevoegdheden momenteel onvoldoende zijn ingesleten. Aangegeven is dat risicomanagement nog te weinig leeft. In de praktijk zijn de ondersteuners van de afdelingen op het gebied van risico s de eerste contactpersonen voor de afdelingshoofden. In de huidige opzet is het risicomanagement continuïteitsgevoelig, omdat de praktische verantwoordelijkheid hiervoor bij één persoon is belegd. Uit de interviews en de beleidsdocumenten blijkt dat de gemeente op termijn de verantwoordelijkheden met betrekking tot risicomanagement meer decentraal wil beleggen, om zo meer risicobewustzijn binnen de organisatie te creëren. Daarbij wordt de gemeentelijke organisatieontwikkeling gezien als katalysator om meer risicobewustzijn binnen de organisatie te creëren en het risicomanagementsysteem verder te ontwikkelen. Binnen het programma zijn er twee projecten gericht op de opzet en de werking van risicomanagement: 1. Het project project- en programmasturing is gericht op de ontwikkeling van de sturing van projecten en programma s waar risicomanagement een belangrijke rol in speelt. Het project draagt hieraan bij door de opzet en aanlevering van uniforme formats. 2. Het organiseren van opleidingen en bijeenkomsten om informatie te delen en bewustwording te creëren. De focus van de organisatieontwikkeling is vooral gericht op verbeteringen aan de voorkant van een proces; planning, structuur, middelen en de afstemming hiertussen. Er wordt verwacht dat dit tevens bijdraagt aan de professionalisering van het risicomanagement. Uit de casuïstiek blijkt overigens dat risicomanagement binnen de organisatieontwikkeling niet als apart onderdeel is gepositioneerd. De kaderstellende en controlerende rol rond risicomanagement is bij de raad belegd. Uit gesprekken komt naar voren dat de raad veel ambitie heeft, maar dat enige prioritering gewenst is om de balans te houden tussen de ambitie en de capaciteit van de ambtelijke organisatie. De focus van de raad is per saldo meer gericht op de prestatiekant ( doelen realiseren ) dan op de risico s die met de doelen en ambities samenhangen. De raad geeft overigens aan behoefte te hebben aan informatie over (mogelijke) risico s in relatie tot de beleidsdoelen. 6.5 Norm 5: Cyclisch karakter van risicomanagement De vijfde norm houdt in dat het beleid en de uitvoering omtrent risico s en weerstandsvermogen een cyclisch karakter hebben. 18 Rapportage risicomanagement

19 De inventarisatie van de risico s zou binnen de gemeente Utrechtse Heuvelrug zo veel mogelijk gekoppeld moeten zijn aan de bestaande processen en procedures. Concreet gaat het om de inbedding van risicomanagement in de P&C-cyclus en in de besluitvormingsprocessen. Uit de gesprekken blijkt dat van een structurele inbedding in deze zin nog geen sprake is. De inventarisatie en actualisatie van risico s vindt momenteel vooral ad hoc plaats. Ondanks het feit dat op een aantal afdelingen beheersmaatregelen worden opgesteld, worden er op concernniveau geen beheersmaatregelen geborgd in het risicomanagementsysteem. Daarnaast worden de op de afdelingen getroffen beheersmaatregelen nauwelijks gemonitord. Het Programma Organisatieontwikkeling voorziet in een verdere ontwikkeling van de P&C-cyclus, in de uniformering van rapportages en in het procesmatig werken. Dit kan bijdragen aan het cyclische karakter van risicomanagement. De ontwikkeling van procesbeschrijvingen volgens de SENSUS-methode, waar de gemeente momenteel mee bezig is, moet leiden tot een betere borging en tot een werkend proces. SENSUS zal worden toegepast op verschillende procedures, waaronder de risicomanagementprocedure. Het geheel zal naar verwachting bijdragen aan een meer volwassen proces en bedrijfsvoering, waarin de grip op risico s via processen moet worden geborgd. Het is niet duidelijk of de risico s en beheersmaatregelen ook worden meegenomen in de modelleringsactiviteiten. Voor een werkend risicomanagementproces zijn niet alleen adequate procedures van belang, maar ook een adequaat risicobewustzijn. Binnen de gemeente Utrechtse Heuvelrug is er weinig tastbaar beleid gevonden inzake risicomanagement en is gebleken dat hiervoor bij de ambtelijke organisatie en de raad sporadisch aandacht bestaat. Voor soft controls bestaat ook niet zichtbaar aandacht. Soft controls zijn in feite (beheers)maatregelen die raken aan het persoonlijk functioneren van medewerkers. Het gaat om zaken als: motivatie, loyaliteit, integriteit, inspiratie en normen en waarden. Soft controls vereisen voorbeeldgedrag van leidinggevenden, een open cultuur waarin verantwoordelijkheid wordt genomen en mensen op hun verantwoordelijkheden worden aangesproken. Binnen de gemeente Utrechtse Heuvelrug zijn soft controls in relatie tot risicomanagement, zoals het risicobewustzijn, in beperkte mate aangetroffen. In de documentatie wordt het belang van de menselijke factor en van soft controls niet of nauwelijks belicht. In de evaluatie van 2014 wordt geconcludeerd dat het risicobewustzijn onvoldoende leeft, maar concrete maatregelen zijn niet aangetroffen. Daarnaast is bijvoorbeeld integriteit geen integraal onderdeel van het Programma Organisatieontwikkeling. Binnen het Programma Organisatieontwikkeling wordt weliswaar gesproken over de zachte kant van de organisatie, maar van opvolging van bevindingen en van concrete acties is niet zichtbaar sprake. Deze staan niet beschreven in de ontvangen documentatie. 6.6 Norm 6: Ondersteunende instrumentaria De zesde norm betreft het aanwezig zijn van adequate instrumenten om de uitvoering van het beleid met betrekking tot risico s en weerstandsvermogen te ondersteunen. Zoals gezegd, wordt de uitvoering van het risicomanagement technisch ondersteund door NARIS. De informatie wordt hierin in principe eenduidig en op eenvoudige wijze vastgelegd, maar de volledigheid van de informatie is onzeker en de toegankelijkheid ervan is beperkt. Op dit moment hebben slechts twee personen toegangsrechten. 19 Rapportage risicomanagement

20 Ondersteuning in de vorm van opleidingen, trainingen en de inzet van specialisten is minimaal en incidenteel. Er wordt gebruikgemaakt van externe (NAR) en interne specialisten (o.a. de risicocoördinator en medewerkers Financiën). Risicomanagement wordt meegenomen in het Programma Organisatieontwikkeling. De projecten binnen dit programma moeten een voorbeeld zijn voor de nieuwe werkwijze. Er worden geen opleidingen verzorgd voor het management of de medewerkers om het risicomanagement verder te implementeren. Binnen de gemeente zijn er diverse vormen van communicatie over risicomanagement; vooral schriftelijk en gekoppeld aan bestaande processen en procedures. Mondelinge ondersteuning wordt vanuit Financiën en Concernstaf verricht. Dit vindt nog niet op een gestructureerde wijze plaats. De kwaliteit van de informatievoorziening aan de raad, vooral wat betreft de beheersing van risico s en de toelichting van geïnventariseerde risico s, kan volgens het raadspanel worden verbeterd, ten behoeve van het uitvoeren van diens controlerende en kaderstellende rol. Een betere kwaliteit van de informatievoorziening zou in de optiek van de raad tevens kunnen leiden tot een betere kwaliteit van de besluitvorming. Binnen de ambtelijke organisatie bestaat behoefte aan duidelijkere kaders vanuit de raad en het college, om het risicobewustzijn binnen de organisatie te versterken. Vanuit de raad worden niet altijd de juiste vragen gesteld of kaders meegegeven om op het juiste niveau te kunnen informeren. In de taakomschrijving van de raad staat dat deze ook strategische risico s kan aandragen. Het aandragen van risico s kan het risicobewustzijn versterken. 6.7 Casuïstiek Doelstelling van het onderzoek van twee casussen was om meer inzicht te krijgen in de concrete werking in de praktijk van risicomanagement binnen de gemeente Utrechtse Heuvelrug. De geselecteerde casussen betreffen het programma Organisatieontwikkeling en het Programma Openbare ruimte en milieu Programma Organisatieontwikkeling Het Programma Organisatieontwikkeling is ingezet vanwege veranderingen in de samenleving, die hun weerslag hebben op de gemeente. Het doel van het programma is om in te spelen op deze veranderingen, door de dienstverlening aan de maatschappij te verbeteren en meer resultaatgericht te werken. Het programma richt zich vooral op het doorvoeren van verbeteringen binnen de gemeente op het gebied van sturing, structuur, cultuur en personeel. Binnen het programma is een projectstructuur opgezet, bestaande uit een stuurgroep (gevormd door drie directieleden, ondersteund door de programmamanager en een strategisch communicatieadviseur), een programmamanager en thema- en werkgroepen, die worden geleid door een projectleider. Risicomanagement is binnen het programma niet apart benoemd. De sturing op en beheersing van risico s betreffende het programma zijn wel informeel onderdeel van het takenpakket van de programmamanager en van de projectleiders van de thema- en werkgroepen. De huidige programmamanager is aangesteld nadat het programmaplan en de programmastructuur waren vastgesteld. Bij haar aantreden heeft de nieuwe programmamanager een risico-inventarisatie verricht, waarvan de bevindingen mondeling zijn gedeeld. Uit de interviews komt naar voren dat het programma uitgaat van een breed risicobegrip. Zo wordt er onderscheid gemaakt in aan de planning gerelateerde, financiële, en cultuurrisico s. Uit de documenten rond de casus blijkt dat de vastleg- 20 Rapportage risicomanagement

21 ging van de risico s, en dan vooral van de culturele risico s, voor verbetering vatbaar is. De bestudeerde documenten bevatten geen overzicht van de risico s op programmaniveau. Evenmin zijn deze opgenomen in het programmaplan of in de raadsinformatiebrieven over de voortgang. Uit de interviews komt tevens naar voren dat de beheersmaatregelen rond het programma niet altijd schriftelijk en/of in de systemen worden vastgelegd. Uit de documentatie op het niveau van de thema- en werkgroepen komt naar voren dat er per groep een risicoparagraaf is opgenomen in het projectplan. De actualisering, monitoring en evaluatie van deze risico s zijn belegd binnen de projectgroep. Er zijn geen documenten ontvangen die inzicht bieden in de wijze waarop deze actualisering, evaluatie en monitoring plaatsvinden en met welke frequentie. Uit de interviews blijkt dat dit vooral in mondelinge overleggen wordt besproken, bijvoorbeeld in de bilaterale overleggen met de opdrachtgever. Er zijn geen documenten aangetroffen die inzicht geven in de afstemming van risicomanagement op programmaniveau en projectenniveau. Uit de interviews komt wel naar voren dat de programmamanager geen zicht heeft op de wijze waarop een projectleider zijn rol en taken uitvoert; dit geldt ook voor het onderdeel risicomanagement. De informatievoorziening over het programma richting het college en de raad vindt structureel plaats. Tweewekelijks is er een overleg met het college, waarin onder andere financiële en juridische risico s worden besproken. De raad wordt geïnformeerd via raadsinformatiebrieven. De informatiebrieven die naar de raad zijn gegaan, gaan niet in op risico s. In de interviews wordt aangegeven dat deze brieven in de toekomst wel zullen ingaan op de belangrijkste risico s. In de visie van veel geïnterviewden bevat het Programma Organisatieontwikkeling diverse onderdelen die kunnen fungeren als katalysator voor de professionalisering van het risicomanagement binnen de gemeente. Zo brengt het programma verbetering aan de voorkant, waardoor planning, structuur en middelen een grotere focus krijgen. Daarnaast wordt gebruikgemaakt van project- en programmasturing; een aanpak waarin risicomanagement een belangrijke rol speelt. Tevens worden er opleidingen en bijeenkomsten georganiseerd, om informatie te delen en bewustwording te creëren. Het programma is daarmee ook gericht op de zachte kant van de organisatie; op de vaardigheden die nodig zijn om in de toekomst meer netwerkgericht te kunnen werken. Dit vereist dat de medewerkers hun positie kennen en zich bewust zijn van hun positionering in een proces, van de wijze waarop ze schakelen met anderen en hoe hun werkzaamheden tot uiting komen in de samenleving. Om dit bewustzijn te bevorderen, wordt er een zelfreflectiemoment ingezet tijdens de overleggen. Daarnaast is de voorbeeldrol van de stuurgroep van belang en dient de sturing vanuit de stuurgroep meer gericht te zijn op het proces Programma Openbare Ruimte en Milieu De doelstelling van het programma is om een veilige, comfortabele en zo mogelijk ook aantrekkelijke openbare ruimte te realiseren. De werkzaamheden zijn binnen het programma vastgelegd in een productenboek, waarin per product ook de risico s zijn benoemd. 21 Rapportage risicomanagement

22 Uit de interviews blijkt dat de afdeling momenteel bezig is met het opstellen van beheerplannen. Het is de bedoeling om in deze plannen een risicoparagraaf op te nemen, en zo tevens een verbinding te maken tussen het productenboek en de beheerplannen. Uit de interviews betreffende dit programma komt naar voren dat het beleid op concernniveau met betrekking tot risicomanagement vrijwel onbekend is. De aandacht voor de (verdere) ontwikkeling van risicomanagement binnen het programma wordt vooral ingegeven door landelijke tendensen. Risico s die binnen dit programma worden geïnventariseerd, zijn breed qua begrip en omvatten veiligheids-, financiële, contract- en imagorisico s, waarbij per geïnventariseerd risico wordt gekeken naar de kans van voorkomen en naar de impact ervan. Slechts in een aantal stukken wordt gesproken over beheersmaatregelen. Als dat gebeurt, wordt daarbij tevens de verantwoordelijke bij de maatregel benoemd. Deze beheersmaatregelen zijn vooral gericht op beheer en onderhoud. Er zijn in de afgelopen jaren diverse ontwikkelingen geweest die de ondersteuning van de risicobeheersing hebben verbeterd. Enkele voorbeelden hiervan zijn: 1. Aanstelling van een financieel adviseur op de afdeling. 2. Kredietverschaffing per projectfase, waardoor er meer ruimte is om tussentijds bij te sturen. 3. Introductie van projectmatig werken. Dit houdt in dat er verschillende projectfases worden onderscheiden: van projectopdracht via startnotitie naar projectplan. Uit de documenten blijkt dat in de startnotities en de projectplannen een risicoparagraaf is opgenomen. De monitoring en actualisering van risico s geschiedt niet structureel, maar slechts wanneer daarvoor aanleiding bestaat. Er zijn initiatieven gestart om binnen de organisatie meer bewustzijn te creëren, door de monitoring en actualisering van risico s te bespreken tijdens afdelings- en teamoverleggen. Er zijn echter geen documenten ontvangen die te maken hebben met deze actualisering en/of monitoring van risico s. In het organisatieplan van het Programma Openbare ruimte en milieu is vermeld op welke wijze het programma is georganiseerd. Hier is geen risicoparagraaf bij vermeld. Bovendien is risicomanagement in geen van de functieprofielen opgenomen. In de praktijk blijkt uit de interviews dat risicomanagement vooral door de projectleiders wordt opgepakt. Uit de interviews komt eveneens naar voren dat er in het kader van de P&C-cyclus gesprekken worden gevoerd over risico s, maar ook dat er behoefte is aan een prominentere plek voor risicomanagement binnen deze cyclus. De informatievoorziening betreffende het programma is niet eenduidig. De raad wordt hierover geïnformeerd via raadsinformatiebrieven en wordt via nog te ontwikkelen nieuwe beheerplannen en raadsinformatiebrieven geïnformeerd over risico s. Uit de bestudeerde documenten blijkt dat de risico s niet expliciet worden genoemd in de raadsinformatiebrieven. Uit de interviews blijkt ook dat er een zekere terughoudendheid bestaat om risico s te delen met het bestuur en de raad. Communicatie over risico s met het managementteam en de teamleiders vindt plaats in het wekelijks overleg. Risicomanagement heeft in het verleden regelmatig op de agenda van het directieteam gestaan, maar het expliciet bespreken van risico s vond in de afgelopen periode niet meer plaats. 22 Rapportage risicomanagement

23 7 Conclusie In het voorgaande hoofdstuk is per norm een overzicht gegeven van de belangrijkste bevindingen. In dit hoofdstuk analyseren wij de samenhang en overeenstemming van alle individuele bevindingen per norm. 7.1 Normenkader gaat verder dan het BBV De Rekenkamercommissie heeft, gezien de ontwikkelingen die het vak van risicomanagement de laatste jaren heeft doorgemaakt - mede in het licht van de boekhoudschandalen en de economische crisis, gekozen voor een normenkader dat meer omvat dan alleen de kaders die het BBV stelt. Uit het onderzoek blijkt dat het risicomanagement bij de gemeente Utrechtse Heuvelrug weliswaar voldoet aan de normen voor risicomanagement zoals opgenomen in het Besluit begroting en verantwoording, maar onvoldoende aan de aanvullende normen die in de visie van de Rekenkamercommissie passen bij modern risicomanagement. Uit het onderzoek blijkt verder dat bij de gemeente de uitvoering van risicomanagement in de dagelijkse praktijk aanzienlijk achterblijft bij het vastgestelde beleid van de gemeente. Deze conclusie kan worden onderbouwd aan de hand van de ontwikkelingen binnen het risicomanagement die in paragraaf 5.2 zijn weergegeven en zijn vertaald in vier bouwstenen waaruit modern risicomanagement moet bestaan. Het door de Rekenkamercommissie vastgestelde normenkader is verbonden aan deze vier bouwstenen en is, zoals gezegd, meer omvattend dan de normen van het BBV. Figuur 4 De vier bouwstenen van modern risicomanagement Bouwsteen: integraliteit De eerste bouwsteen van modern risicomanagement kent twee kernen: een breed risicobegrip en een focus op risicobeheersing. De gemeentelijke kadernota hanteert een breed risicobegrip en legt ook de relatie tussen risico s en beleidsdoelstellingen. Echter, uit de documenten en de interviews blijkt dat in de praktijk toch vooral financiële risico s in beeld zijn. 23 Rapportage risicomanagement

24 Dit wil niet zeggen dat er binnen de gemeente in de praktijk helemaal geen aandacht bestaat voor niet-financiële risico s. Zo is er bij het aantreden van de programmamanager Organisatieontwikkeling een risico-inventarisatie uitgevoerd, waarbij ook zogenaamde culturele risico s zijn geïdentificeerd. Ook in het Programma Openbare orde en milieu worden niet alleen financiële, maar ook veiligheids-, contract- en imagorisico s benoemd. Met de verbreding van het risicobegrip verschuift ook de focus van het beperken van de schade die ontstaat wanneer een risico zich voordoet, naar het voorkómen dat risico s zich voordoen. In opzet is het identificeren en implementeren van risicobeheersmaatregelen onderdeel van het risicomanagementproces, zoals voorzien in de kadernota. Uit het onderzoek blijkt echter niet dat de risicobeheersing ook daadwerkelijk structureel plaatsvindt. Evenmin zijn er beheersmaatregelen in NARIS vastgelegd, terwijl dit systeem het risicomanagement technisch ondersteunt. Vanuit meerdere gremia is de behoefte uitgesproken aan meer focus op de beheersing van risico s. Hiervoor gelden overigens ook financiële motieven. Het verleggen van de focus - van het afdekken van risico s door middel van het weerstandsvermogen naar de beheersmaatregelen en het voorkomen dat risico s optreden - kan er immers toe leiden dat er minder weerstandsvermogen hoeft te worden aangehouden en er meer financiële ruimte ontstaat Bouwsteen: betrokkenheid De tweede bouwsteen van modern risicomanagement kent eveneens twee kernen: integratie van risicomanagement in alle lagen van de organisatie, alsmede een zichtbaar en actief eigenaarschap van het management. Van integratie van risicomanagement in alle lagen van de organisatie is nog geen sprake. In 2011 is met het document Hoe zetten wij risicomanagement in de organisatie weliswaar een aanzet gegeven tot verdere implementatie, maar in mei 2014 heeft de risicocoördinator de conclusie getrokken dat een brede bewustwording van de betekenis van risicomanagement voor de bedrijfsvoering van de organisatie nog ontbreekt. De tweede bouwsteen houdt niet alleen in dat risicomanagement in alle lagen van de organisatie leeft, maar ook dat het management zichtbaar en nadrukkelijk de verantwoordelijkheid neemt voor risicomanagement. Op dit punt is er nog ontwikkeling mogelijk. Uit de interviews blijkt wel dat het management in toenemende mate een voorbeeld- en voortrekkersrol vervult rond risicomanagement. Dit gebeurt echter niet steeds even actief en consequent en geldt niet voor alle leidinggevenden. Wellicht wordt dit veroorzaakt door onduidelijkheden over de taken en verantwoordelijkheden rond risicomanagement. Deze zijn nog onvoldoende ingesleten, terwijl bovendien duidelijke bevoegdheden ontbreken en de kadernota nog niet is aangepast aan de nieuwe besturingsfilosofie Bouwsteen: proces De derde bouwsteen van modern risicomanagement houdt in dat er sprake is van een proces, waarin risico s en kansen structureel en consistent worden geïnventariseerd en beheerst, waarin de inventarisatie en beheersing regelmatig worden geactualiseerd en waarin frequent wordt gerapporteerd, geëvalueerd en geleerd. Van een dergelijk dynamisch proces is gemeentebreed nog geen sprake. Het inventariseren van risico s vindt plaats, maar de manier waarop dit wordt gedaan en de communicatie hierover zijn niet uniform. Het lerend vermogen voor de organisatie als geheel is hierdoor beperkt en we zien geen vast stramien. Doordat de inventarisatie niet eenduidig plaatsvindt, komen afdeling-overstijgende risico s niet gemakkelijk aan het licht. In opzet zou de inventarisatie van de risico s gekoppeld moeten zijn aan de bestaande processen en procedures. 24 Rapportage risicomanagement

25 Van een structurele inbedding van risicomanagement in de P&C-cyclus en in de besluitvormingsprocessen is in de praktijk echter nog geen sprake. En hoewel het gemeentelijke beleidskader een regelmatige actualisatie van geïnventariseerde risico s voorschrijft, is niet vastgesteld dat dit in de praktijk consequent plaatsvindt. Door de aanwezige inventarisatie voldoet de opbouw van het benodigde weerstandsvermogen weliswaar aan de regels, maar de onderbouwing is voor verbetering vatbaar zolang de risicoinventarisatie en -actualisatie niet structureel en niet stevig gecoördineerd plaatsvinden Bouwsteen: rooddruk en blauwdruk De vierde en laatste bouwsteen van modern risicomanagement is van recente datum. Het gaat om de verschuiving van de aandacht voor de structuur en de techniek van risicomanagement (de blauwdruk) naar de organisatiecultuur en de competenties van medewerkers (de rooddruk). Daarom heeft de Rekenkamercommissie hiervoor in het normenkader toetspunten opgenomen. De gemeente Utrechtse Heuvelrug voldoet hieraan niet of nauwelijks. Risicobewustzijn, voorbeeldgedrag en soft controls op het gebied van cultuur en competenties zijn niet expliciet in het risicomanagementbeleid vastgelegd en leven niet zichtbaar bij raad, college en ambtelijke organisatie. Dit kan het gevolg zijn van het ontbreken van een helder beleidskader, maar naar onze inschatting houdt dit zeker ook verband met het beperkte risicobewustzijn, waardoor het risicomanagement onvoldoende in het DNA van de organisatie aanwezig is. Dit laat onverlet dat de zachte kant van risicomanagement naar verwachting kan en zal profiteren van de aandacht in het Programma Organisatieontwikkeling voor cultuur en personeel. 7.2 Levensfase Zoals gezegd heeft de Rekenkamercommissie een normenkader vastgesteld, dat veel meer dan het BBV rekening houdt met de ontwikkelingen in het vakgebied, en met de eisen die aan modern risicomanagement worden gesteld. In de ontwikkeling van risicomanagement kunnen grofweg drie fasen worden onderscheiden, zoals weergegeven in figuur 5: 1. Past control - initiële fase Risicomanagement is gefragmenteerd qua risico-organisatie en risico-inventarisatie 2. Present control - tussenfase Risicomanagement wordt strategisch en wordt iets van het management 3. Future control - integratiefase Risicomanagement is geïntegreerd in het doen en denken, in systemen en processen en in de rooddruk en de blauwdruk van de organisatie In het normenkader dat de Rekenkamercommissie heeft gehanteerd, zijn de aspecten van deze drie levensfasen verwerkt. Hierbij moet worden aangetekend dat het normenkader van het BBV verbonden is met present control, terwijl het door de Rekenkamercommissie gehanteerde normenkader gericht is op future control. 25 Rapportage risicomanagement

26 Figuur 5 De drie fasen van management control Bij risicomanagement gaat het niet alleen om een adequate opzet en goed beleid, maar ook en vooral om een effectieve werking en een professionele uitvoering. Daarom is in het onderzoek van de Rekenkamercommissie niet alleen de opzet van een professionele risicomanagementorganisatie onderzocht, maar ook de werking ervan in de praktijk. Op basis van de bevindingen kan worden geconcludeerd dat het beleid van de gemeente op het gebied van risicomanagement zich overall bevindt in een tussenfase. Maar bij de werking/uitvoering van risicomanagement in de praktijk van alle dag domineert nog de initiële fase. Waar de belangrijke bouwstenen van modern risicomanagement nog wel in het beleidskader van de gemeente zijn te vinden, is dit bij de uitvoering nauwelijks het geval. Ondanks het brede risicobegrip, worden in de praktijk bijna uitsluitend financiële risico s geïnventariseerd. Waar het stappenplan voorziet in een regelmatige actualisatie van risico s en risicobeheersing, vindt dit in de praktijk niet structureel, maar slechts fragmentarisch plaats. Het vigerende beleid is niet in alle lagen van de organisatie even bekend, de concrete aanpak van risicomanagement kan per afdeling verschillen en een totaaloverzicht en gemeentebrede sturing (lijken te) ontbreken. De verdere uitbouw van risicomanagement naar de integratiefase kent een eigen dynamiek, die in belangrijke mate wordt bepaald door de mogelijkheden en de ontwikkelingsfase van de organisatie. De uitdaging is om onderweg een juiste mix te vinden tussen het op orde brengen én houden van de basis (het beleid en de organisatie) én het transformeren/innoveren, waarbij cultuur en competenties en integratie in doen en denken centraal staan. Het vinden van de juiste balans en mix is in de visie van de Rekenkamercommissie de primaire én uitsluitende verantwoordelijkheid van het management en niet van de risicocoördinator of de afdeling Financiën. 26 Rapportage risicomanagement

27 7.3 Onderzoeksvraag Centraal in het onderzoek van de Rekenkamercommissie staat de onderzoeksvraag: In hoeverre is de gemeente Utrechtse Heuvelrug zich bewust van risico s voor de gemeente en geëquipeerd om deze risico s voor de gemeente te herkennen en beheersen? Op basis van de normen die gelden voor het BBV is de gemeente voldoende geëquipeerd. Wanneer daarentegen - zoals de Rekenkamercommissie voorstaat - het normenkader voor modern risicomanagement wordt toegepast, is de gemeente nog onvoldoende toegerust. Belangrijk hierbij is een breed gedragen risicobewustzijn, alsmede een consequente en consistente uitvoering van het vastgestelde beleid. Daarvan is bij de gemeente Utrechtse Heuvelrug nog niet structureel en in de volle breedte van de organisatie sprake. Risicobewustzijn, voorbeeldgedrag en soft controls op het gebied van cultuur en competenties zijn niet expliciet in het risicomanagementbeleid vastgelegd en leven niet zichtbaar bij raad, college en ambtelijke organisatie. In de context van het onderzoek is door een raadslid nog een aanvullende vraag gesteld: Kan door middel van het onderzoek inzicht worden verkregen in de beheersmaatregelen die de gemeente ziet en probeert te benutten. Dit mede gezien de controlerende rol van de raad, die deze rol beter kan uitoefenen aan de hand van informatie. Een deelvraag hierbij is of de risico's getalsmatig correct worden geteld in relatie tot het benodigde weerstandsvermogen (ook bij mutaties, zoals het verdwijnen, ontstaan of toenemen van risico's). Een tweede deelvraag luidt: welke risico s gaat de gemeente niet aan, omdat er onvoldoende ruimte is in de weerstandscapaciteit. Uit de bevindingen blijkt dat de beheersmaatregelen van geïdentificeerde risico s niet structureel worden vastgelegd en ook niet op een eenduidige wijze worden gecommuniceerd richting de raad. De inschattingen van de financiële gevolgen van de risico s worden na inventarisatie verwerkt in NARIS. Vervolgens wordt de benodigde weerstandscapaciteit bepaald via de Monte Carlo-analyse. Uit het onderzoek komt niet naar voren of de gemeente afwegingen maakt om bepaalde risico s al dan niet aan te gaan en hoe dit past binnen de beschikbare weerstandscapaciteit. Anders gezegd: er wordt geen relatie gelegd tussen het ambitieniveau van de gemeente en de weerstandscapaciteit die daarbij past. In die zin ontbreekt een risicostrategie. Door de bestaande risico s beter te beheersen en een juiste risicostrategie te kiezen, zou de benodigde weerstandcapaciteit verkleind kunnen worden. 27 Rapportage risicomanagement

28 8 Aanbevelingen Op basis van de analyse en conclusies uit het vorige hoofdstuk worden hierna diverse aanbevelingen geformuleerd. Daarvoor analyseren wij eerst de context waarin de verdere uitbouw van het risicomanagement plaatsvindt. 8.1 Context Risicomanagement is de afgelopen jaren geëvolueerd van het voorkomen van schade (waardebehoud) naar het managen van de risico s die van invloed zijn op het realiseren van de beleidsdoelstellingen van een organisatie (waardecreatie). De Rekenkamercommissie heeft deze ontwikkeling van waardebehoud naar waardecreatie verwerkt in het normenkader dat is gehanteerd voor het beantwoorden van de onderzoeksvraag. De conclusie is dat de gemeente voldoet aan de normen die passen bij waardebehoud (het BBV), maar minder aan de normen die horen bij waardecreatie. De verdere uitbouw van het risicomanagement bij de gemeente Utrechtse Heuvelrug, vanuit de bestaande basis van het BBV met een oriëntatie op waardebehoud en weerstandsvermogen naar een integraal en geïntegreerd risicomanagement met een focus op het managen van risico s en waardecreatie, sluit in de visie van de Rekenkamercommissie goed aan bij het beleid dat de gemeente met het Programma Organisatieontwikkeling heeft ingezet. Dit programma richt zich vooral op het doorvoeren van verbeteringen op het gebied van sturing, structuur, cultuur en personeel. Daarmee kan het fungeren als katalysator voor de (verdere) professionalisering van risicomanagement binnen de gemeente. Tegen deze achtergrond verdient het aanbeveling om de verdere uitbouw van risicomanagement bij de gemeente Utrechtse Heuvelrug nadrukkelijk een plek te geven in dit programma. 8.2 Aanbevelingen Op basis van de genoemde context kunnen de volgende aanbevelingen worden gedaan. Aanbeveling 1 De Rekenkamercommissie adviseert het college een plan van aanpak op te stellen voor de verbetering van het risicomanagement, met duidelijke mijlpalen en verantwoordelijken. Ten aanzien van dit plan van aanpak beveelt de Rekenkamercommissie het volgende aan: I Actualiseer en completeer het risicomanagement beleid Volgens de kadernota zou het risicomanagementbeleid eenmaal in de vier jaar moeten worden geactualiseerd. Dit zou op korte termijn dienen plaats te vinden. Deze actualisering kan worden gebruikt om bestaande beleidskaders aan te vullen met de bouwstenen die passen bij modern risicomanagement en die nu ontbreken. Het betreft onder meer (de verduidelijking van) het beleid ten aanzien van de rol en verantwoordelijkheden van het management, de informatievoorziening binnen de organisatie en richting de raad, cultuur en competenties die horen bij een integraal en geïntegreerd risicomanagement, alsmede een uitgewerkt en eenduidig risicomanagementproces in relatie met de P&C-cyclus. 28 Rapportage risicomanagement

29 II Zorg voor actieve communicatie en brede informatie Aanbeveling 2 Communicatie en informatie zijn niet alleen de olie in de machine van de uitvoering, maar ook cruciaal voor de kaderstellende en controlerende rol van de raad. De Rekenkamercommissie adviseert om communicatie en informatie nadrukkelijk en expliciet te verankeren in het beleidskader. Het gaat er hierbij niet alleen om vast te stellen welke informatie met welke frequentie benodigd is, bijvoorbeeld in de vorm van een informatieprotocol, maar ook om het verwerken van de informatiebehoeften in de processen, bijvoorbeeld in de vorm van een verplichte risicoparagraaf in de raadsvoorstellen. In dit kader verdient het evenzeer aanbeveling om de toegankelijkheid en het gebruik van de risicodatabase NARIS te versterken. De Rekenkamercommissie adviseert de raad om het door het college op te stellen plan van aanpak te gebruiken om de voortgang van de uitbouw van het risicomanagement te bewaken en de informatie te verkrijgen die nodig is om de controlerende verantwoordelijkheid ten aanzien van risicomanagement te kunnen nemen. De controlerende taak van de raad betreft niet alleen de opzet van een adequaat risicomanagementsysteem, maar ook het toezicht op de feitelijke werking hiervan in de praktijk. Om inhoud te geven aan deze verantwoordelijkheid zullen de raad en het college afspraken moeten maken over de frequentie en de inhoud van de communicatie en informatie betreffende risicomanagement. Tevens is het raadzaam dat de raad de accountant om een oordeel vraagt over het verbeterplan inzake risicomanagement van het college. Daarnaast kan de accountant worden gevraagd om, over bijvoorbeeld twee jaar, een audit uit te voeren betreffende de feitelijke werking van het (verbeterde) risicomanagementsysteem. Aanbeveling 3 Tot slot doet de Rekenkamercommissie nog een aantal specifieke aanbevelingen aan het college, om te komen tot verbeterde beleidskaders en een verbeterde uitvoering van het risicomanagementbeleid. III Hanteer het Programma Organisatieverandering als katalysator Het Programma Organisatieontwikkeling kan in de visie van de Rekenkamercommissie fungeren als katalysator voor de (verdere) professionalisering van het risicomanagement binnen de gemeente. Tegen deze achtergrond verdient het aanbeveling om de verdere uitbouw van risicomanagement bij de gemeente Utrechtse Heuvelrug nadrukkelijk een plek te geven in dit programma. Onderdeel van het Programma Organisatieontwikkeling is niet alleen het doorvoeren van verbeteringen op het gebied van sturing en structuur, maar ook op het vlak van cultuur en personeel. In de visie van de Rekenkamercommissie bepalen de medewerkers, de cultuur en de competenties in belangrijke mate een effectieve uitvoering van risicomanagement. Ook in die zin vormt het programma een goed platform voor het formuleren en praktiseren van dergelijke zogenaamde soft skills. 29 Rapportage risicomanagement

30 IV Maak het management verantwoordelijk Het Programma Organisatieontwikkeling kan in de visie van de Rekenkamercommissie fungeren als katalysator voor de (verdere) professionalisering van risicomanagement binnen de gemeente. Cruciaal daarbij is dat het management de voorbeeld- en voortrekkersrol op zich neemt ten aanzien van zowel het ontwikkelen van risicobewustzijn en risicovaardigheden als ten aanzien van de inventarisatie en actualisatie van risico s en risicobeheersing. Van belang is dat het management zichtbaar en consequent verantwoordelijkheid neemt, niet alleen op het vlak van het inventariseren, prioriteren en beheren van risico s in relatie tot de doelstellingen van de eigen afdeling, maar ook in voorbeeldgedrag en cultuur. V Sluit risicomanagement aan op de P&C cyclus Een effectief risicomanagement is ingebed in alle lagen van de organisatie. In dit verband moet risicomanagement zijn opgenomen in de gemeentelijke systemen en processen. Met andere woorden: risicomanagement moet een onderdeel zijn van de reguliere P&C-cyclus. Dit is naar ervaring een kwestie van de lange adem. Enerzijds omdat het risicomanagement nog niet volledig is aangesloten op de P&C cyclus, maar anderzijds ook omdat de organisatie in de dagelijkse praktijk nog regelmatig blijft hangen in de PLAN-fase en de onderdelen DO- CHECK-ACT nog niet consequent en consistent worden toegepast. Dit proces van de lange adem begint met het opnemen van risicomanagement in alle procesbeschrijvingen. De gemeente maakt voor haar procesbeschrijvingen gebruik van de SENSUSmethode. Deze methode leidt naar verwachting tot een betere borging en een werkend proces. De beschrijving van het proces van risicomanagement en het opnemen van risicomanagement in andere processen zullen hieraan moeten bijdragen. Dit proces vraagt ook actieve ondersteuning en voortdurende aandacht van het management, naast een strakke sturing en coördinatie. De primaire verantwoordelijkheid hiervoor ligt bij de risicocoördinator, maar zijn effectiviteit is sterk afhankelijk van de steun vanuit het management. VI Verbeter de interne communicatie en informatie De Rekenkamercommissie adviseert het management actief met de medewerkers te communiceren over het beleid en in gesprek te gaan over risicomanagement en risicocultuur, als onderdeel van de besturingsfilosofie en de cultuur zoals in het Programma Organisatieverandering gedefinieerd. 30 Rapportage risicomanagement

31 Bijlagen Bijlage 1 Normenkader Bijlage 2 Bevindingen Bijlage 3 Geraadpleegde bronnen Bijlage 4 Overzicht geïnterviewde personen Bijlage 5 Interviewleidraad Bijlage 6 Artikel 11 Besluit begroting en verantwoording 31 Rapportage risicomanagement

32 Bijlage 1 Normenkader Ten behoeve van kwaliteitsonderzoek naar de opzet en werking van risicomanagement Normen Nr. Toetspunten Norm 1: Volledige, actuele en transparante beleidskaders 1.1 Het beleid voldoet aan wet- en regelgeving en ISO- en COSO-normen (BBV en eventueel verordening 212 gemeentewet). 1.2 Het beleid is actueel: het biedt kaders en aanknopingspunten die tegemoetkomen aan de actuele risico s en de actuele financiële positie. 1.3 Het beleid is transparant: het is duidelijk welke doelen worden nagestreefd en welke middelen daarvoor beschikbaar zijn. 1.4 Het beleid bevat afspraken over de informatievoorziening en communicatie aan de gemeenteraad en binnen de gemeente. 1.5 In het beleid zijn de gewenste risicocultuur (doen-enlaten) en risicobereidheid duidelijk geëxpliciteerd en deze leven bij raad, college en ambtelijke organisatie. Norm 2: Inventarisatie, analyse, sturing, beheersing van de juiste risico s 2.1 Er wordt een breed risicobegrip gehanteerd, dat zich niet beperkt tot financiële risico s maar ook een verbinding legt met de doelstellingen van de gemeente. 2.2 Voor iedere rol zijn er waarborgen ingebouwd dat risico s op het juiste niveau en tijdig worden gesignaleerd, gecommuniceerd, geactualiseerd en geregistreerd. 2.3 Inventarisatie, analyse en beoordeling van risico s vindt onderbouwd en objectief plaats, waarbij onder meer de kans wordt ingeschat dat de risico s zich voordoen en wat de eventuele schade of impact is. 2.4 De papieren werkelijkheid wordt door de gemeente aan de feitelijke werkelijkheid getoetst. 2.5 Bij de analyse van risico s wordt vastgesteld of en hoe de risico s worden beheerst. Er zijn niet alleen beheersmaatregelen gericht op voorkómen of beperken van financiële impact, maar ook op het faciliteren van gedrag, cultuur en competenties. 2.6 Indien risico s zich ondanks beheersmaatregelen toch voordoen, wordt een beroep gedaan op het weerstandsvermogen. Norm 3: 3.1 De opbouw van de beschikbare weerstandscapaciteit voldoet aan wet- en regelgeving (BBV en eventueel verordening 212 gemeentewet) en is juist, volledig en actueel. 32 Rapportage risicomanagement

33 Normen Nr. Toetspunten Heldere onderbouwing aan de hand van de methodiek van het weerstandsvermogen 3.2 Het weerstandsvermogen is een kwantitatieve uitspraak over de verhouding tussen de risico s die de gemeente loopt en de middelen die beschikbaar zijn om deze risico s op te vangen. 3.3 De onderbouwing van de benodigde weerstandscapaciteit is actueel, transparant en eenduidig. 3.4 Ten aanzien van risico s en weerstandsvermogen vindt interactie plaats met overige toezichtfuncties, als de auditcommissie en de accountant. Eventuele actiepunten die hieruit voortvloeien, worden uitgevoerd. Norm 4: Rollen, taken, verantwoordelijkheden en bevoegdheden zijn helder en worden uitgevoerd 4.1 De rollen, taken, verantwoordelijkheden en bevoegdheden rondom risicomanagement zijn vastgelegd in het beleid en worden conform de besturingsfilosofie (zoals bijvoorbeeld integraal management) en het beleid uitgevoerd. 4.2 Er is een onderscheid tussen rollen en verantwoordelijkheden in het kader van risicomanagement voor de raad, het college en de ambtelijke organisatie. 4.3 Raad, college en ambtelijke organisatie kennen hun rol en verantwoordelijkheden in het kader van risicomanagement en acteren in de praktijk rolvast. 4.4 Het management vervult een voorbeeld- en voortrekkersrol ten aanzien van de identificatie en actualisatie van risico s en een adequate werking van het risicomanagementsysteem en de gewenste risicocultuur en gedrag. Norm 5: Beleid en uitvoering omtrent risico s en weerstandsvermogen hebben een cyclisch karakter 5.1 Risico s van substantieel belang worden tijdig door het college van B&W met de gemeenteraad gedeeld. 5.2 In de organisatie bestaat een werkend proces ( een cyclus ) van risicomanagement, dat is ingebed in de organisatie (bijv. in de planning-en-controlcyclus en/of de beleidscyclus) en voorziet in evaluatie en bijsturing. 5.3 Risicomanagement maakt deel uit van de besluitvorming en in besluitvormingsprocessen staat voor een toelichting over de effecten van besluiten. 5.4 Getroffen beheersmaatregelen worden periodiek geactualiseerd en beoordeeld op effectiviteit. Dit is geborgd binnen de systemen van de gemeente. Norm 6: Er zijn adequate instrumenten om de uitvoering van het beleid met betrekking tot risico s en weerstandsvermogen te ondersteunen 6.1 De ambtelijke organisatie wordt ondersteund door interne en/of externe specialisten op het gebied van risicomanagement. 6.2 De informatie die essentieel is voor risicomanagement is eenduidig, eenvoudig en toegankelijk vastgelegd. 6.3 De aan de gemeenteraad verstrekte informatie is effectief voor de raad om zijn kaderstellende en controlerende taak te kunnen uitvoeren. 33 Rapportage risicomanagement

34 Normen Nr. Toetspunten 6.4 Structureel worden opleidingen en trainingen aangeboden ten aanzien van risicomanagement, om een juiste uitvoering van het beleid, de gewenste cultuur en competenties te ondersteunen. 6.5 Periodiek vindt er communicatie plaats over risicomanagement, bijvoorbeeld over het belang van risicomanagement en de betekenis van het bedrag of de ratio met betrekking tot het weerstandsvermogen. 34 Rapportage risicomanagement

35 Bijlage 2 Bevindingen Norm 1: Volledige, actuele en transparante beleidskaders Nr. Toetspunten 1.1 Het beleid voldoet aan wet- en regelgeving en ISO- en COSO-normen (BBV en eventueel verordening 212 gemeentewet). 1.2 Het beleid is actueel: het biedt kaders en aanknopingspunten die tegemoetkomen aan de actuele risico s en de actuele financiële positie. 1.3 Het beleid is transparant: het is duidelijk welke doelen worden nagestreefd en welke middelen daarvoor beschikbaar zijn. 1.4 Het beleid bevat afspraken over de informatievoorziening en de communicatie aan de gemeenteraad en binnen de gemeente. 1.5 In het beleid zijn de gewenste risicocultuur (doen en laten) en de risicobereidheid duidelijk geëxpliciteerd. Deze leven bij raad, college en ambtelijke organisatie Het beleid voldoet aan wet- en regelgeving en ISO- en COSO-normen (BBV en eventueel verordening 212 gemeentewet) De geldende wet- en regelgeving omtrent risicomanagement bij gemeenten is gedefinieerd in artikel 11 uit het BBV (zie bijlage 6). Een risicomanagementsysteem dient te voldoen aan de kaders zoals in desbetreffend artikel 11 genoemd. Met het besluit van 25 juni 2013 is de titel van de paragraaf weerstandsvermogen gewijzigd in: weerstandsvermogen en risicobeheersing. Volgens de toelichting bij deze wijziging beoogt de wetgever hiermee recht te doen aan de toegenomen aandacht voor risicobeheersing. De paragraaf betreffende weerstandsvermogen en risicobeheersing bevat ten minste: a. een inventarisatie van de weerstandscapaciteit, b. een inventarisatie van de risico s én c. het beleid omtrent de weerstandscapaciteit en de risico s. De gemeente Utrechtse Heuvelrug heeft ervoor gekozen om het beleid omtrent de weerstandscapaciteit en de risico s vast te leggen in een kadernota, in plaats van in de paragraaf weerstandsvermogen en risicobeheersing in de begroting. Dit is conform de Handleiding duale begroting, die is opgesteld als handreiking aan gemeenten om te komen tot een optimale inrichting van de begroting. De kadernota van de gemeente Utrechtse Heuvelrug is op 28 april 2011 door de raad vastgesteld. De paragraaf in de begroting met betrekking tot risicomanagement behandelt de voortgang van het beleid zoals vastgelegd in de kadernota. In de paragraaf weerstandsvermogen en risicobeheersing wordt gestart met een inleiding, die ingaat op de definitie van het weerstandsvermogen en op de relatie tussen de benodigde en de beschikbare weerstandscapaciteit. Dit onderdeel bevat niet enkel de theoretische benadering en de mate waarin het vermogen toereikend is, maar tevens de wijze waarop het vermogen is opgebouwd. De opbouw is gegeven voor de actuele cijfers en wordt beoordeeld aan de hand van de gestelde normen. De benodigde weerstandscapaciteit wordt berekend aan de hand van de top-10 van belangrijkste financiële risico s en de uitvoering in NARIS van een Monte Carlo-simulatie. 35 Rapportage risicomanagement

36 Vervallen, verlaagde en nieuwe risico s ten opzichte van de voorgaande begroting worden toegelicht. Met betrekking tot het beleid ten aanzien van weerstandscapaciteit en -vermogen, wordt aangegeven dat de gemeenteraad zich conformeert aan de waarderingstabel voor de weerstandsratio s. Er wordt tevens verwezen naar de geambieerde minimale of eventueel maximale waarde, zoals vermeld in de kadernota. De paragraaf voldoet daarmee aan wet- en regelgeving. Artikel 212 van de Gemeentewet stelt dat de raad verantwoordelijk is voor het vaststellen van de uitgangspunten voor het financiële beleid, alsmede voor het financiële beheer en voor de inrichting van de financiële organisatie door middel van een verordening. Dit artikel ligt ten grondslag aan de financiële verordening Gemeente Utrechtse Heuvelrug Hierin wordt in artikel 6 gesteld: 1. Het college biedt om de vier jaar een (bijgestelde) nota Activabeleid aan. De raad stelt deze nota vast; 2. De nota Activabeleid biedt regels voor de waardering en afschrijving van activa en de afgesproken afschrijvingstermijnen; 3. In de nota wordt het onderscheid in investeringen met economisch nut en investeringen met maatschappelijk nut in relatie tot de wijze van afschrijven toegelicht; 4. Jaarlijks biedt het college de raad een kadernota aan waarin de te hanteren afschrijvingstermijnen zijn opgenomen. Tevens wordt in artikel 9:b een koppeling gemaakt naar risico s: Het College zorgt bij het uitoefenen van de financieringsfunctie voor het beheersen van de risico s verbonden aan de financieringsfunctie, zoals renterisico s, koersrisico s en kredietrisico s. In de verordening wordt een specifiek subartikel gewijd aan het beheersen van risico s. Dit heeft voornamelijk betrekking op financiële risico s. In de verordening wordt niet gesproken over het weerstandsvermogen. De kadernota Weerstandsvermogen en risicomanagement van de gemeente Utrechtse Heuvelrug geeft meer inzicht in de mate waarin het risicomanagementbeleid voldoet aan de financiële verordening: 1. Het beleid omtrent het weerstandsvermogen en risicobeheersing (zoals vastgelegd in de kadernota) dient conform de financiële verordening elke vier jaar opnieuw door het college aan de raad te worden aangeboden. Dit is conform artikel 6 in de verordening. De meest recente kadernota is van 22 maart Dit betekent dat er op 22 maart 2015 een nieuwe kadernota dient te worden aangeboden. Uit de interviews is naar voren gekomen dat er momenteel niet aan een nieuwe kadernota wordt gewerkt. De actualisering van kadernota s geschiedt meestal wanneer er vraag naar ontstaat en is dus niet meegenomen in bestaande processen. 2. De kadernota geeft aan dat de paragraaf weerstandsvermogen en risicobeheersing in de begroting, naast de door het BBV vereiste inhoud, tevens inzicht verschaft in: a. De mate waarin schade als gevolg van risico s met de weerstandscapaciteit kan worden opgevangen. b. De ontwikkelingen ten opzichte van voorgaande rapportages. 36 Rapportage risicomanagement

37 Wanneer deze inhoud wordt gekoppeld aan beheersmaatregelen, voldoet dit aan artikel 9:b van de financiële verordening. De paragraaf weerstandsvermogen en risicobeheersing verschaft inzicht in de relatie tussen de benodigde weerstandscapaciteit (aan de hand van de schade als gevolg van risico s) en de beschikbare weerstandscapaciteit (mogelijke middelen om schade op te vangen). Met betrekking tot de ontwikkelingen ten opzichte van voorgaande rapportages beperkt de paragraaf zich tot een summiere toelichting op vervallen, verlaagde of nieuwe risico s. De paragraaf voldoet daarmee deels aan de additionele vereiste informatie voortkomend uit de financiële verordening. Om hieraan geheel te voldoen, dient de paragraaf meer in te gaan op de ontwikkelingen ten opzichte van voorgaande rapportages Het beleid is actueel: het biedt kaders en aanknopingspunten die tegemoetkomen aan de actuele risico s en de actuele financiële positie Vanaf 2005 staat risicomanagement op de agenda. In 2008 heeft de gemeente een doeltreffendheidsonderzoek totstandkoming weerstandsvermogen verricht, naar aanleiding van de verordening onderzoeken doelmatigheid en doeltreffendheid van de gemeente Utrechtse Heuvelrug, dat voortvloeit uit artikel 213a van de gemeentewet. Het doel van het onderzoek was het verschaffen van inzicht, ter verbetering van de kwaliteit van de organisatie, evenals meer transparantie richting het bestuur. Naar aanleiding van dit onderzoek is in 2011 het risicomanagementsysteem opnieuw opgezet op basis van de bevindingen betreffende de overeenstemming tussen de vermelde risico s en risico s in de paragraaf weerstandsvermogen, de vaststelling van de weerstandscapaciteit en het gebrek aan beleid voor weerstandsvermogen en risicomanagement. In de kadernota staat als een van de doelstellingen vermeld: Actualisatie van het weerstandsvermogen en de risico s. Om deze doelstelling te realiseren, verschaft het beleid aanknopingspunten om met de ratio weerstandsvermogen (weerstandscapaciteit/risico s) om te gaan en voor de uitvoering van risicomanagement. Daarnaast beoogt de gemeente om de kadernota elke vier jaar te vernieuwen. Eind 2011 is het document Hoe zetten wij risicomanagement in de organisatie? opgesteld. In dit document komen de volgende onderwerpen aan de orde: De huidige situatie in de gemeente Utrechtse Heuvelrug Knelpunten en zwaktes Financiële consequenties realisering verbeteringen Mogelijke alternatieven Plan van aanpak Globale planning Risicomanagement wordt bij de gemeente Utrechtse Heuvelrug als volgt gedefinieerd: Het continue en systematisch doorlopen van de organisatie op risico s, met als doel de kans erop te verkleinen en de gevolgen te beperken. Het woord continue geeft hierbij de mate van actualisatie aan. 37 Rapportage risicomanagement

38 De definitie van een risico luidt als volgt: Een risico is de kans op het optreden van een onvoorziene gebeurtenis die gevolgen heeft voor het behalen van de vooraf vastgestelde doelstellingen. Deze definitie sluit aan bij de ISO norm. In de interviews wordt beaamd dat risicomanagement zowel financiële als niet-financiële risico s in kaart dient te brengen. Risicomanagement wordt vanuit de afdeling Financiën georganiseerd. Aangegeven wordt dat hierdoor momenteel voornamelijk een financieel risicobegrip wordt gehanteerd. De nietfinanciële risico s die worden geïnventariseerd worden zoveel mogelijk vertaald naar een financiële impact. In de interviews komt naar voren dat slechts een beperkte groep medewerkers binnen de gemeente betrokken is bij de kadernota, met als gevolg dat 1) de inhoud van de nota niet bekend is bij veel medewerkers en 2) afdelingen zelf een initiatief hebben genomen in het opzetten van een eigen risicomanagement, zoals de afdeling Vastgoed, Grondzaken en Projecten. In mei 2014 is door de gemeente Utrechtse Heuvelrug de conclusie getrokken dat een brede bewustwording van de betekenis van risicomanagement ontbreekt voor de bedrijfsvoering van de organisatie. Risicomanagement dient te worden ingebed in de reguliere sturing en beheersing van de organisatie en als zodanig deel uit te maken van het werkproces. Uit de interviews komt naar voren dat de P&C verder dient te worden doorontwikkeld. Daarbij wordt gesteld dat periodiek onderhoud van risicomanagementsysteem noodzakelijk is. Vanuit deze evaluatie is een tweede fase in de invoering van het risicomanagement gestart, waaronder: Aanpassing van DT, college- en raadsvoorstellen; toevoeging van risico s in de voorstellen, die tevens worden overgenomen in NARIS. Tussentijdse toetsing van de verzekeringsportefeuille, om tijdig te kunnen inspelen op gewijzigde risico s. Belangrijke wijzigingen worden meegenomen in tussentijdse bestuursrapportages. Jaarlijkse actualisatie van de risicoparagraaf in de begroting en de jaarrekening. In de interviews is hierbij aanvullend de opzet van de meerjarenplangrondexploitaties genoemd. Volgens de financiële verordening zou in maart 2015 de kadernota geactualiseerd dienen te worden. Uit de interviews is gebleken dat er momenteel niet aan de actualisering van deze nota wordt gewerkt. Tevens komt naar voren dat actualisering van zowel het beleid als van de geïnventariseerde risico s van groot belang is voor de gemeente Utrechtse Heuvelrug, gezien de financiële ruimte die de gemeente momenteel heeft. Sturing vanuit de raad op een financieel goede afloop en een actieve rol om de financiële situatie door te vertalen in de benodigde sturing op risicoprofielen worden belangrijk geacht Het beleid is transparant: het is duidelijk welke doelen worden nagestreefd en welke middelen daarvoor beschikbaar zijn. In de kadernota worden de volgende doelstellingen geformuleerd: 38 Rapportage risicomanagement

39 1. Risicomanagement: continue en systematische uitvoering, ter verschaffing van inzicht in het risicoprofiel van de gemeente en de effecten daarvan op het weerstandsvermogen. 2. Weerstandsvermogen: vermogen is groot genoeg dat het het voordoen van risico s kan dekken op een dusdanige wijze dat bedrijfsvoering en de uitvoering van het vastgestelde beleid niet in gevaar komt. 3. Voldoen aan wet- en regelgeving: door onder andere opstellen kadernota en actualisering hiervan om de vier jaar. 4. Actualisatie van het weerstandsvermogen en risico s: door het wijden van een paragraaf aan het weerstandsvermogen in de huidige begroting, de tussenrapportages en het jaarverslag. Daarbij wordt beleid verschaft over hoe om te gaan met de ratio weerstandsvermogen en de uitvoering van risicomanagement. 5. Kaderstelling raad en formuleren van beleidsuitgangspunten: de raad is verantwoordelijk voor een sluitende begroting en voert daarvoor haar kaderstellende, budgetbepalende en controlerende taak met betrekking tot risicomanagement uit. 6. Reduceren van gevolgen van risico s: de in kaart gebrachte risico s en de aanwezige weerstandscapaciteit worden gebruikt ter ontwikkeling van beleid dat de impact van risico s reduceert. De gemeente heeft door het organiseren van verschillende presentaties aan verschillende belanghebbenden over deze doelstellingen gecommuniceerd. Ten behoeve van een goede inbedding in de organisatie is in een tweede implementatieplan gesteld dat er bewustwording wordt gecreëerd door gebruik van de bij de P&C-cyclus gehanteerde communicatielijnen. Dit geschiedt door het organiseren van kennissessies, het aanwijzen van een risicoadviseur en het opnemen van risicomanagement in procesbeschrijvingen. In de interviews wordt aangegeven dat het huidige risicomanagement binnen de gemeente breder kan worden ingezet om de gemeentelijke beleidsdoelstellingen te bereiken. Een voorbeeld hiervan is het lopende traject om het bedrijventerrein in Leersum te reduceren. Om dit te bereiken, is het noodzakelijk om de bedrijven die momenteel op het terrein in Leersum zijn gevestigd, te verplaatsen naar een ander bedrijventerrein. Onderdeel van het traject is derhalve het vinden of realiseren van een passend alternatief. Van belang hierbij is dat ook wordt gekeken naar het risico dat dit niet gaat lukken. De focus ligt meer op het reduceren van het bedrijventerrein dan op het bieden van ruimte aan de ondernemers die verplaatst dienen te worden. Hierdoor wordt dit risico in onvoldoende mate benoemd, uitgewerkt en gerelateerd aan de gemeentelijke doelstellingen. De doorvertaling van het beleid naar de verschillende afdelingen vindt onvoldoende plaats doordat kaders ontbreken en/of onduidelijk zijn, zo blijkt uit de interviews. Daarbij zijn er duidelijke verschillen zichtbaar tussen de verschillende afdelingen met betrekking tot de professionalisering van het risicomanagement. Stukken met betrekking tot de implementatie van risicomanagement bevatten geen passage die ingaat op de inzet van middelen ten behoeve van risicomanagement. Uit een aantal stukken komt naar voren dat er een risicocoördinator is aangesteld voor het implementeren en uitvoeren van risicomanagement in de organisatie. 39 Rapportage risicomanagement

40 Risicomanagement wordt bij de gemeente Utrechtse Heuvelrug technisch ondersteund door de webapplicatie NARIS. NARIS wordt gebruikt als systeem om onder andere risico s vast te leggen, berekeningen uit te voeren, risicoprofielen te bepalen en ratio s uit te rekenen. Uit de interviews blijkt dat de gemeente niet beschikt over het gehele pakket en daarom niet gebruikmaakt van alle beschikbare functionaliteiten van het systeem. Nederlands Adviesbureau Risicomanagement Informatie Systeem NARIS is een geautomatiseerd risk systeem ter ondersteuning van risicomanagement bij organisaties. In dit systeem kunnen (h)erkende risico s worden vastgelegd en beoordeeld op de kans op en impact bij voorkomen ervan. Via simulatie komt vervolgens een risicoprofiel tot stand. Met NARIS wordt op deze manier onder andere inzichtelijk gemaakt welke risico s prioriteit hebben. Ten slotte kunnen in het systeem beheersmaatregelen per risico worden vastgelegd. De gehanteerde systematiek binnen de afdeling Vastgoed, Grondzaken en Projecten is gebaseerd op de inzet van projectmatig werken. Deze systematiek brengt met zich mee dat: Projectleiders bij de verschillende projectfases risico s inventariseren, herzien en/of evalueren. Er eerder kan worden gesignaleerd wanneer de beoogde kosten en baten niet aansluiten. Aangegeven is dat de continuïteit van deze systematiek momenteel een risico inhoudt, vanwege het gebruik van externen voor de opzet van de systematiek. Er is een start gemaakt met het uitrollen van projectmatig werken over de rest van de gemeente Het beleid bevat afspraken over de informatievoorziening en de communicatie aan de gemeenteraad en binnen de gemeente. Ter verankering van het risicomanagement in de organisatie vindt de verantwoording plaats in reguliere plannen en rapportages, zoals beschreven in de kadernota. Er is afgesproken om communicatie over risico s te laten plaatsvinden via de planning & control (P&C-)producten, en op deze wijze de risico s periodiek onder de aandacht te brengen. Hierbij wordt onderscheid gemaakt tussen verplichte en facultatieve rapportages. De verplichte rapportages leiden tot meerdere momenten van evaluatie van weerstandsvermogen en risicomanagement. Jaarlijks wordt minimaal bij de programmabegroting en de jaarrekening een risico-inventarisatie uitgevoerd. Uit de documentenstudie is gebleken dat de gemeente Utrechtse Heuvelrug bij de begrotingen en jaarrekeningen aan de gemeenteraad rapporteert over de belangrijkste financiële risico s. Uit het interview met de Raad blijkt dat de Raad primair met risicomanagement te maken heeft bij de begrotingen en bij het opstellen van de kadernota risicomanagement. Men geeft daarbij aan dat dit voornamelijk financiële aspecten betreft. In het tweede implementatieplan (2014) is vastgesteld dat belangrijke wijzigingen worden meegenomen in tussentijdse bestuursrapportages. In de eerste bestuursrapportage van 2015, die is vastgesteld door de raad d.d. 29 juni 2015, zijn belangrijke wijzigingen ten opzichte van de risicoanalyse toegelicht. De wijzigingen zijn kwalitatief van aard. 40 Rapportage risicomanagement

41 De vastlegging van afspraken over de informatievoorziening en de communicatie aan de gemeenteraad en binnen de gemeente in documenten is beperkt. Onder toetspunt 5.2 wordt meer duidelijkheid gegeven over de informatievoorziening en communicatie in de praktijk. Uit de interviews komt naar voren dat in de praktijk de informatie veelal niet voldoet aan de wensen. Er bestaat een verwachtingskloof tussen degene die de informatie aanlevert en de informatiegebruiker In het beleid zijn de gewenste risicocultuur (doen en laten) en de risicobereidheid duidelijk geëxpliciteerd en deze leven bij de Raad, het College en de ambtelijke organisatie. Uit de documentenstudie komt naar voren dat, na vaststelling van de kadernota, is getracht nadere invulling te geven aan de omgang van de bestuurlijke organen (college van B&W en raad) met risicomanagement. De uiteindelijke invulling (zoals de wijze waarop de bestuurlijke organen hun kaderstellende en controlerende taak uitvoeren en de mate van betrokkenheid) geeft daarmee meer duidelijkheid over de gewenste risicocultuur. Ten aanzien van de wenselijke risicocultuur is geformuleerd dat er inzicht moet bestaan in: 1. Kwaliteit van management/bestuurlijke organen: a. In de documenten is vermeld dat de raad zijn controlerende taak actief uitvoert. Het college en de raad dragen actief bij aan het verbeteren van het risicoprofiel van de gemeente. Dit dient als voorbeeldgedrag voor de rest van de organisatie. Uit de interviews komt dienaangaande een divers beeld naar voren. Enerzijds wordt de raad onvoldoende risicobewust geacht, anderzijds wordt deze gezien als actief en betrokken en daardoor risicobewust. Uit het interview met de raad wordt geconcludeerd dat deze zijn kaderstellende rol in de loop van de tijd heeft verbeterd, maar dat de controlerende rol nog niet op hetzelfde niveau zit. Om deze rol te verbeteren, heeft de raad informatie nodig die beter past bij de rol die men wil vervullen. De raad ziet hierin een opgave voor het college en de ambtelijke organisatie, wat betreft het bieden van ondersteuning. 2. Openheid en transparantie: a. (Strategische) risico s aangedragen door collegeleden en raadsleden worden behandeld binnen de daarvoor bestemde gremia. b. Aanvullingen vanuit alle lagen van de gemeentelijke gremia zijn gewenst. c. Een van de aandachtspunten vanuit het tweede implementatieplan is het ondersteunen en uitdragen van risicomanagement op het hoogste ambtelijke niveau. d. Uit de interviews blijkt dat er duidelijkere kaders dienen te worden verschaft door de raad en het college ter bevordering van het risicobewustzijn binnen de organisatie. Daarvoor is onder andere een duidelijke context van de bestuurlijke omgeving nodig. De raad ziet dat hij winst heeft geboekt ten aanzien van haar kaderstellende rol, maar geeft aan behoefte te hebben aan duidelijkheid over de verwachtingen die de organisatie heeft van de raad. e. Tevens blijkt uit interviews dat de raad stuurt op basis van gedetailleerde gegevens. Het wordt als wenselijk gezien dat de raad zich tot de hoofdlijnen beperkt. 41 Rapportage risicomanagement

42 3. Verantwoordelijkheid nemen en samenwerking: a. Een van de aandachtspunten vanuit het tweede implementatieplan is het verantwoordelijk maken van medewerkers voor het inschatten, de beheersing van en het verantwoording afleggen over risico s. b. Daarbij staat het verkrijgen van draagvlak op de agenda. c. De bestuurlijke organen acteren proactief bij het uitoefenen van hun controlerende functie, met name wanneer risico s tot de portefeuille van het desbetreffende lid behoren. Zo blijkt uit de interviews dat de portefeuillehouder de afdeling aanspreekt op het actualiseren van risico s. d. Uit de interviews blijkt dat het nemen van verantwoordelijkheid en samenwerking in de praktijk sterk persoonsafhankelijk zijn. e. Uit de interviews is ook gebleken dat bepaalde onderdelen van de organisatie proactief risicomanagement oppakken; andere afdelingen zijn meer reactief. In de interviews wordt aangegeven dat de beheersing van risico s afhankelijk is van de kwaliteit van de bedrijfsvoering van de gemeente. Om de bedrijfsvoering verder te verbeteren, zou een cultuuromslag nodig zijn. In het stuk Hoe zetten wij risicomanagement in de organisatie? komt naar voren dat het merendeel van de managers en afdelingshoofden risicomijdend is. Dat past overigens bij de kadernota, waarin met betrekking tot de risicobereidheid is geformuleerd: Bij 90% van de aangegeven bedragen is er voldoende financiële capaciteit. Deze formulering van risicobereidheid komt terug in de paragraaf weerstandsvermogen en risicobeheersing. Uit de interviews blijkt dat het risicobewustzijn van de raad, het college en de ambtelijke organisatie voor verbetering vatbaar is. De perceptie is met name dat de raad zich onvoldoende bewust is van de risico s. De raad geeft aan dat hij behoefte heeft aan informatie waardoor hij beter in staat is om de gewenste rol te vervullen. daarbij is er behoefte aan meer duidelijkheid omtrent de verwachtingen vanuit de ambtelijke organisatie. Norm 2: Inventarisatie, analyse, sturing, beheersing van de juiste risico s Nr. Toetspunten 2.1 Er wordt een breed risicobegrip gehanteerd, dat zich niet beperkt tot financiële risico s, maar ook een verbinding legt met de doelstellingen van de gemeente. 2.2 Voor iedere rol zijn er waarborgen ingebouwd dat risico s op het juiste niveau en tijdig worden gesignaleerd, gecommuniceerd, geactualiseerd en geregistreerd. 2.3 Inventarisatie, analyse en beoordeling van risico s vindt onderbouwd en objectief plaats, waarbij onder meer de kans dat de risico s zich voordoen en wat de eventuele schade of impact ervan is, wordt ingeschat. 2.4 De papieren werkelijkheid wordt door de gemeente getoetst aan de feitelijke werkelijkheid. 2.5 Bij de analyse van risico s wordt vastgesteld of en hoe de risico s worden beheerst. Er zijn niet alleen beheersmaatregelen gericht op het voorkomen of beperken van financiële impact, maar ook op het faciliteren van gedrag, cultuur en competenties. 2.6 Indien risico s zich ondanks de beheersmaatregelen toch voordoen, wordt een beroep gedaan op het weerstandsvermogen. 42 Rapportage risicomanagement

43 2.1. Er wordt een breed risicobegrip gehanteerd, dat zich niet beperkt tot financiële risico s, maar ook een verbinding legt met de doelstellingen van de gemeente. De definitie van een risico wordt als volgt geformuleerd: Een risico is de kans op het optreden van een onvoorziene gebeurtenis die gevolgen heeft voor het behalen van de vooraf vastgestelde doelstellingen. Daarmee wordt de verbinding gelegd tussen de risico s en de doelstellingen van de gemeente. Inzicht in deze verbinding geschiedt door oorzaak-en-gevolgcategorieën aan een risico te koppelen. Daarbij wordt in de kadernota een onderscheid gemaakt in verschillende soorten risico s, volgens de volgende aspecten: - Het niveau waarop deze zich voordoen (strategisch vs. tactisch vs. operationeel). - De richting van het gevolg van een risico (zuiver vs. speculatief). - De mate van voorkomen (eenmalig vs. frequent). Er wordt duidelijk geformuleerd in de nota dat alle risico s worden betrokken bij de identificatie van risico s. In een risico onderzoek dat de gemeente Utrechtse Heuvelrug heeft uitgevoerd in 2013 ten behoeve van de begroting 2015 komt het onderscheid tussen verschillende soorten risico s en de mate waarin deze risico s worden verbonden met de doelstellingen van de gemeente naar voren. Binnen het risico-onderzoek wordt er per geïdentificeerde gebeurtenis gekeken naar het risicogebied, de risicocategorie, de gevolgcategorie en de risico-oorzaak. Deze gebieden en categorieën zijn zowel financieel als niet-financieel van aard. De verschillende assen zijn in onderstaande tabel weergegeven: Oorzaakcategorieën Gevolgcategorieën Bedrijfsproces Verbonden partijen Financieel Financieel Openeinde regelingen Imago/politiek Imago/politiek Milieu Vertraging/stagnatie Informatie/strategie Letsel/veiligheid Product Personeel/Arbo Juridisch/wettelijk Anders Materieel Tabel 2 Oorzaak en gevolg conform gemeente Utrechtse Heuvelrug Strategische risico s worden meegenomen in de risicoanalyse, door het communiceren van deze risico s vanuit de bestuurlijke organen aan de risico-coördinator in de organisatie. Ze krijgen daarmee een plaats binnen het risicomanagement. Ondanks dat de risico-onderzoeken laten zien dat alle risico s worden meegenomen, laat de paragraaf weerstandsvermogen en risicobeheersing enkel de top-10 van belangrijkste financiële risico s zien. De paragraaf is daarmee voornamelijk financieel georiënteerd. In de interviews wordt beaamd dat risicomanagement zowel financiële als niet-financiële risico s in kaart dient te brengen. Maar omdat risicomanagement vanuit de afdeling Financiën is 43 Rapportage risicomanagement

44 georganiseerd, wordt er momenteel voornamelijk een financieel risicobegrip gehanteerd. De niet-financiële risico s die worden geïnventariseerd, worden zoveel mogelijk vertaald naar een financiële impact. De relatie van de verschillende geïdentificeerde gebeurtenissen met de doelstellingen van de gemeente wordt niet expliciet gemaakt in de verschillende rapportages. Dit wordt bevestigd door de bevindingen uit de interviews. Uit de interviews blijkt tevens dat hierin een actieve rol vanuit de raad wordt gevraagd, om uiteindelijk de doelstellingen te realiseren in díe zin dat er keuzes dienen te worden gemaakt Voor iedere rol zijn er waarborgen ingebouwd dat risico s op het juiste niveau en tijdig worden gesignaleerd, gecommuniceerd, geactualiseerd en geregistreerd. De ingebouwde waarborgen voor iedere rol zijn onvoldoende systematisch vormgegeven, zo blijkt uit de gehouden interviews. De aangewezen risicocoördinator zet een vraag naar risico s uit bij de werkvloer, om alle risico s te inventariseren. Daarbij schakelt de coördinator voornamelijk met de afdelingshoofden. De opvolging die hieraan wordt gegeven is onduidelijk. Tijdens de gesprekken is aangegeven dat de wisselwerking tussen de afdelingen en de risicocoördinator en de concernstaf voor verbetering vatbaar is. De afdelingen vinden de professionele ondersteuning bij het opzetten en uitwerken van risicomanagement vanuit concern onvoldoende en zijn daarom op hun eigen wijze gestart met de vastlegging van risico s. Feitelijk ontbreekt een uniform proces Inventarisatie, analyse en beoordeling van risico s vindt onderbouwd en objectief plaats, waarbij onder meer de kans dat de risico s zich voordoen en wat de eventuele schade of impact hiervan is, wordt ingeschat. Binnen het risicomanagementproces worden, zoals vermeld in de kadernota, verscheidene stappen onderscheiden: 1. Inventarisatie en identificatie van risico s: dit heeft als doel om zoveel mogelijk risico s in kaart te brengen, door het gebruik van een risicomatrix, waarbij risicogebieden worden gerelateerd aan risicocategorieën. 2. Analyse en beoordeling van risico s: mogelijke analyses zijn kwalitatief, relatief en/of kwantitatief. Afhankelijk van de gekozen analysemethode worden risico s geprioriteerd. Beoordeling zou volgens de kadernota centraal plaats dienen te vinden in de risicomanagementcyclus. 3. Bepalen en uitvoeren van de beheersstrategie: het doel van beheersing is voor de gemeente Utrechtse Heuvelrug om mogelijke beheersmaatregelen in kaart te brengen en weloverwogen keuzes te maken bij nut, noodzaak en kosten betreffende te nemen of aan te passen maatregelen. 4. Evaluatie. Voorafgaand aan de begroting vindt er een risico-onderzoek plaats, om risico s te inventariseren, te identificeren, te analyseren, en te beoordelen en om een mogelijke beheersstrategie te bepalen. Uit de interviews komt naar voren dat deze inventarisatie plaatsvindt vanwege het feit dat de risico coördinator de vraag hiervoor naar de werkvloer uitzet. Enerzijds worden risico s geïdentificeerd door de standaard rapportageprocedures (van managementrapportages en voorstellen aan de raad en/of het college). Anderzijds worden deze 44 Rapportage risicomanagement

45 aangedragen door ondersteuners van de afdelingen die het gesprek aangaan met de productbeheerders. De afdelingen zijn veelal niet bekend met de vraag naar risico s vanuit de risicocoördinator. Bij de risicoanalyse worden de kans dat het risico zich voordoet zonder de toepassing van (beheers)maatregelen en het verwachte risicogevolg zonder (beheers)maatregelen (uitgedrukt in euro s, dus in feite de financiële impact) bepaald. Er worden vrijwel geen beheersmaatregelen opgesteld. Uit de documentenstudie blijkt verder dat strategische risico s worden meegenomen in de risicoanalyse, en daarmee een plaats krijgen in het risicomanagement, door communicatie van deze risico s vanuit de bestuurlijke organen aan de risico-coördinator in de organisatie. De paragraaf weerstandsvermogen en risicobeheersing geeft een beperkt overzicht van een aantal risico s. Voor de desbetreffende risico s wordt, naast de kans en het maximale financiële gevolg, tevens een invloedpercentage berekend. Dit percentage is de kans maal het maximale financiële gevolg. Risicokaarten zijn opgenomen in NARIS en bevatten per risico: - Omschrijving van het potentiële risico. - Korte omschrijving van de gevolgen. - De kans dat het risico zich voordoet. - Het financiële effect van de gevolgen. - Het resultaat van de waardering, uitgedrukt in een percentage. Uit de interviews is gebleken dat NARIS voldoende ondersteuning biedt aan de risicoidentificatie. Ondanks dat de risicokaarten worden aangemaakt in het systeem, worden beheersmaatregelen nog niet in het systeem vastgelegd en worden deze niet gekoppeld aan de geïdentificeerde risico s. Actualisering van de risico s in het systeem vindt gedurende het jaar plaats. De gehanteerde systematiek bij de afdeling Vastgoed, Grondzaken en Projecten sluit aan bij de systematiek als beschreven in de kadernota. Er wordt binnen de grondexploitatie tevens per risico gekeken naar mogelijke beheersmaatregelen De papieren werkelijkheid wordt door de gemeente getoetst aan de feitelijke werkelijkheid. Bij toetsing van de papieren werkelijkheid aan de feitelijke werkelijkheid gaat het vooral om de werking van het risicomanagementsysteem binnen de gemeente Utrechtse Heuvelrug in de dagelijkse praktijk. Uit de interviews komt naar voren dat er regelmatig een kloof bestaat tussen beide werkelijkheden. Enkele voorbeelden illustreren dit: 1. De gemeente heeft besloten om een deel van haar vastgoedportefeuille te verkopen. De risico s in verband met deze verkoop zijn na enige tijd niet meer opgenomen in de top 10 van belangrijkste risico s (onder andere vermeld in de paragraaf weerstandsvermogen), aangezien deze later niet meer werden geactualiseerd. 2. In het verleden werd de invoer van de gemeentelijke basisregistratie (GBA) gezien als risico met een hoge kans van voorkomen (ongeveer 90 procent). Desondanks werden de middelen ter dekking van de schade van het risico uitgegeven. Onduidelijk is of deze middelen waren gereserveerd in het weerstandsvermogen. 45 Rapportage risicomanagement

46 3. Het afstoten van vastgoed, met gevolgen voor de formatie bij de afdeling Vastgoed, Grondzaken en Projecten, wordt gekwalificeerd als substantieel risico. Over deze risico s wordt niet gecommuniceerd Bij de analyse van risico s wordt vastgesteld of en hoe de risico s worden beheerst. Er zijn niet alleen beheersmaatregelen gericht op voorkomen of beperken van financiële impact, maar ook op het faciliteren van gedrag, cultuur en competenties. Het bepalen en uitvoeren van een beheersstrategie is onderdeel van het risicomanagementproces. Het vaststellen van de beheersmaatregelen vindt pas plaats wanneer er risico s geïdentificeerd zijn die kunnen worden beheerst. Ter bepaling hiervan kijkt de gemeente Utrechtse Heuvelrug naar zowel de kansen van een risico (als bepaald in de risicoanalyse) als naar de gevolgen van een risico. In het geval dat risico s dezelfde oorzaak hebben, wordt er gekeken naar een gezamenlijke beheersmaatregel. In de kadernota is aangegeven dat de gemeente vier beheersingsmogelijkheden kent: 1. Vermijden: beleid waardoor het risico ontstaat wordt beëindigd of anders vormgegeven en beleid dat een risico met zich meebrengt, wordt niet gestart. 2. Verminderen: afdekken van een risico door verzekeren, treffen van een voorziening of een ander budget in de begroting. 3. Overdragen: beleid overdragen aan een andere partij. 4. Accepteren: afdekken van eventuele financiële schade door weerstandsvermogen. Uit zowel de documenten als de interviews blijkt dat er meestal geen maatregelen worden opgesteld. De vier beheersingsmogelijkheden als vermeld in de kadernota komen niet terug in andere documenten. Omdat er grotendeels geen beheersmaatregelen worden getroffen, is het inzicht in de relatie tussen de mogelijk te treffen beheersmaatregelen en de benodigde weerstandscapaciteit beperkt. In het tweede implementatieplan (2014) is voorzien in een actie om de risicokaarten in NARIS te checken op eventueel noodzakelijk acties om risico s te voorkomen. Uit de interviews blijkt dat het opzetten van beheersmaatregelen en het borgen van de maatregelen in het risicomanagementsysteem nog steeds aandacht behoeven. Van het actief en structureel beheersen van risico s is nog geen sprake. Vanuit het college en de raad is er behoefte aan meer inzicht in andere alternatieven, wanneer een risico is geïdentificeerd. Binnen de afdeling Vastgoed, Grondzaken en Projecten worden beheersmaatregelen meer structureel opgesteld Indien risico s zich ondanks beheersmaatregelen toch voordoen, wordt een beroep gedaan op het weerstandsvermogen. Bij een eventueel optreden van een risico waarvoor geen maatregelen zijn getroffen en die financieel kunnen worden gekwalificeerd, wordt een beroep gedaan op het weerstandsvermogen. De kadernota geeft aan dat deze tegenvallers allereerst worden gedekt door de incidentele weerstandscapaciteit van de gemeente. De geïnterviewde personen geven aan dat de relatie van de risico s met het weerstandsvermogen momenteel goed in beeld wordt gebracht in de paragraaf, maar ook dat dit niet altijd het geval is geweest. 46 Rapportage risicomanagement

47 Norm 3: Heldere onderbouwing aan de hand van de methodiek van het weerstandsvermogen Nr. Toetspunten 3.1 De opbouw van de beschikbare weerstandscapaciteit voldoet aan wet- en regelgeving (BBV en eventueel verordening 212 gemeentewet) en is juist, volledig en actueel. 3.2 Het weerstandsvermogen is een kwantitatieve uitspraak over de verhouding tussen de risico s die de gemeente loopt en de middelen die beschikbaar zijn om deze risico s op te vangen. 3.3 De onderbouwing van de benodigde weerstandscapaciteit is actueel, transparant en eenduidig. 3.4 Ten aanzien van risico s en weerstandsvermogen vindt er interactie plaats met overige toezichtfuncties, als de auditcommissie en de accountant. Eventuele actiepunten die hieruit voortvloeien, worden uitgevoerd De opbouw van de beschikbare weerstandscapaciteit voldoet aan wet- en regelgeving (BBV en eventueel verordening 212 gemeentewet) en is juist, volledig en actueel. De beschikbare weerstandscapaciteit bestaat bij de gemeente Utrechtse Heuvelrug uit de volgende onderdelen: Bestanddeel Algemene reserve (vrij aanwendbaar) Onvoorzien incidenteel Begrotingsruimte Bestemmingsreserve Bestemmingsreserves (rentetoeschrijving aan de exploitatie) Stille reserves Onbenutte belastingcapaciteit Algemene reserve (niet vrij aanwendbaar) Incidentele weerstandscapaciteit X X X X X X Structurele weerstandscapaciteit X X Het niet vrij aanwendbare deel van de algemene reserve wordt niet formeel toegerekend aan de weerstandscapaciteit. Aanwending is enkel mogelijk wanneer er gelijktijdig middelen worden vrijgemaakt om het gemis aan bespaarde rente structureel op te vangen. Aanwending van de bestemmingsreserve leidt tot een bezuiniging binnen diverse programma s van de gemeente. De opbouw van het weerstandsvermogen voldoet aan de wet- en regelgeving. Uit de interviews blijkt dat momenteel een aantal financiële risico s van de afdeling Vastgoed, Grondzaken en Projecten wordt gedekt uit de algemene reserves. Daarbij vindt het terugbrengen van de boekwaarde van de niet in exploitatie genomen gronden naar hun economische boekwaarde plaats door aanwending van het weerstandsvermogen Het weerstandsvermogen is een kwantitatieve uitspraak over de verhouding tussen de risico s die de gemeente loopt en de middelen die beschikbaar zijn om deze risico s op te vangen. Het weerstandsvermogen betreft een kwantitatieve uitspraak over de verhouding tussen de risico s die de gemeente Utrechtse Heuvelrug loopt en de middelen die beschikbaar zijn om deze risico s op te vangen (ratio). Dit wordt als volgt bepaald: 47 Rapportage risicomanagement

48 Ratio weerstandsvermogen = Beschikbare weerstandscapaciteit Benodigde weerstandscapaciteit De gemeenteraad van de gemeente Utrechtse Heuvelrug acht een ratio van minimaal 1,0 voor het weerstandsvermogen nodig om de risico s te kunnen opvangen. Er wordt van onderstaande waarderingstabel gebruikgemaakt: Waarderingscijfer Ratio Betekenis A > 2,0 Uitstekend B 1,4 < x < 2,0 Ruim voldoende C 1,0 < x < 1,4 Voldoende D 0,8 < x < 1,0 Matig E 0,6 < x < 0,8 Onvoldoende F < 0,6 Ruim onvoldoende Tabel 3 Waarderingstabel Ratio s weerstandsvermogen gemeente Utrechtse Heuvelrug Ter illustratie is in onderstaande tabel op basis van documentenstudie het verloop van het ratio weerstandsvermogen over de afgelopen jaren weergegeven, voorzover bekend: Ratio Programmabegroting 2,08 1,29 1,37 Jaarrekening 1,86 1,26 Nog niet bekend Tabel 4 Ratio s ten behoeve van het weerstandsvermogen van de gemeente Utrechtse Heuvelrug In 2013 voldeed de in de jaarrekening vermelde ratio weerstandsvermogen aan de norm die door de raad was vastgesteld in de kadernota. De begroting 2014 en 2015 komen op een ratio weerstandsvermogen die hoger ligt dan de gestelde norm De onderbouwing van de benodigde weerstandscapaciteit is actueel, transparant en eenduidig. In de begroting is vermeld dat de benodigde weerstandscapaciteit wordt berekend op basis van het risicoprofiel van de belangrijkste financiële risico s. Dit geschiedt aan de hand van een risicosimulatie. Uitgangspunt hierbij is een statistische benadering die ervan uitgaat dat nooit alle risico s zich én tegelijkertijd én in maximale omvang voordoen. Bij de berekening heeft de gemeente Utrechtse Heuvelrug gekozen voor een zekerheidspercentage van 90%. Ter illustratie is in onderstaande tabel op basis van documentenstudie het verloop van de benodigde weerstandscapaciteit over de afgelopen jaren weergegeven: Benodigde weerstandscapaciteit Programmabegroting Jaarrekening Nog niet bekend Tabel 5 Benodigde weerstandcapaciteit van de gemeente Utrechtse Heuvelrug 48 Rapportage risicomanagement

49 Het verschil in de benodigde weerstandscapaciteit vanuit de programmabegroting 2014 en 2015 is voornamelijk het gevolg van de actualisering van de grondexploitaties en van het wegvallen van enkele grote juridische claims als gevolg van rechtelijke uitspraken. Minimaal jaarlijks, maar in de praktijk tweemaal per jaar, is er een uitvraag van de risicocoördinator naar de risico s. Aan de hand hiervan worden de risico s geactualiseerd en daarmee de benodigde weerstandscapaciteit. De berekening van de benodigde weerstandscapaciteit vindt plaats op basis van alle financiële risico s Ten aanzien van risico s en weerstandsvermogen vindt interactie plaats met overige toezichtfuncties, als de auditcommissie en de accountant. Eventuele actiepunten die hieruit voortvloeien, worden uitgevoerd. De door EY opgestelde managementletter tussentijdse controle, daterend uit 2015 geeft inzicht in de situatie van de gemeente Utrechtse Heuvelrug. De belangrijkste bevindingen en aanbevelingen van EY zijn: Omgeving rondom de gemeente volop in beweging: de gemeente is bezig om diverse externe zaken in te bedden in haar organisatie door middel van een andere organisatie inrichting en de daarmee samenhangende processen. Vermeld aandachtspunt is de verantwoording van decentralisaties aan de gemeente. Processen zijn over het algemeen goed op orde: aandacht is nodig voor de processen verstrekte subsidies, applicatiebeheer en voor het actualiseren van procesbeschrijvingen. Daarbij wordt aandacht gevraagd voor de doorontwikkeling van de verbijzonderde interne controle, met name wat betreft het inbouwen van voldoende beheersingsmaatregelen om risico s te beheersen. Er is nog steeds een verhoogd risico op de financiële positie van verbonden partijen en de waardering van de gemeentelijke activa. Aandacht wordt gevraagd voor het tijdig actualiseren van grondexploitaties. Door een onzekere markt resteren risico s ten aanzien van de waardering. De halfjaarlijkse actualisatie wordt toereikend geacht. Met betrekking tot de samenwerking ketenpartners dienen afspraken te worden gemaakt over de verticale informatievoorziening en de borging van rechtmatigheid. Dit behelst tevens de relevantie voor de verantwoording in de P&C cyclus en de wijze waarop dit wordt georganiseerd. Het merendeel van deze aandachtspunten is door de desbetreffende afdelingen opgepakt, zo blijkt uit de gevoerde gesprekken. Met name geldt dit voor de punten omtrent de actualisering van processen, de waardering van de gemeentelijke activa en de transities binnen het Sociale Domein. Zo is vorig jaar een meerjarenplan grondexploitaties vastgesteld door de raad, ingegeven door de accountant, en sluit de actualisering hiervan aan de op de wensen van de accountant. Het onderzoek risicomanagement van de Rekenkamercommissie is mede tot stand gekomen op basis van interactie met de auditcommissie. 49 Rapportage risicomanagement

50 Norm 4: Rollen, taken, verantwoordelijkheden en bevoegdheden zijn helder en worden uitgevoerd Nr. Toetspunten 4.1 De rollen, taken, verantwoordelijkheden en bevoegdheden rondom risicomanagement zijn vastgelegd in het beleid en worden conform de besturingsfilosofie (zoals bijvoorbeeld integraal management) en het beleid uitgevoerd. 4.2 Er is een onderscheid tussen rollen en verantwoordelijkheden in het kader van risicomanagement voor de raad, het college en de ambtelijke organisatie. 4.3 Raad, college en ambtelijke organisatie kennen hun rol en verantwoordelijkheden in het kader van risicomanagement en acteren in de praktijk rolvast. 4.4 Het management vervult een voorbeeld- en voortrekkersrol ten aanzien van de identificatie en actualisatie van risico s en een adequate werking van het risicomanagementsysteem en de gewenste risicocultuur en gedrag De rollen, taken, verantwoordelijkheden en bevoegdheden rondom risicomanagement zijn vastgelegd in het beleid en worden conform de besturingsfilosofie (zoals bijvoorbeeld integraal management) en het beleid uitgevoerd. In de kadernota zijn voor een deel de rollen, taken en verantwoordelijkheden vastgelegd, maar bevoegdheden zijn niet genoemd. Aangegeven wordt dat de rollen, taken en verantwoordelijkheden in loop van de tijd zullen veranderen, doordat de organisatie meer gewend raakt aan het werken met risico s. Uit de stukken blijkt dat dit inhoudt dat de rollen, taken en verantwoordelijkheden meer decentraal zullen worden belegd. Het document Hoe zetten wij het risicomanagement in de organisatie? geeft een overzicht van de werkzaamheden van de aangestelde risico-coördinator in de organisatie. In 2015 is een besturings- en managementfilosofie opgesteld en in werking getreden. Deze filosofie maakt een onderscheid tussen de rol en taken van de raad, de ambtelijke organisatie, het college en de inwoners en partners. De nieuwe besturings- en managementfilosofie heeft geen aanleiding gegeven tot het aanpassen van het beleid en daarmee de kadernota. Het is niet duidelijk of de rol- en taakverdeling rond risicomanagement voldoet aan de nieuwe situatie Er is een onderscheid tussen rollen en verantwoordelijkheden in het kader van risicomanagement voor de raad, het college en de ambtelijke organisatie. De basisverantwoordelijkheid ligt bij de afdelingshoofden en de projectmanagers (in feite in de lijn). 50 Rapportage risicomanagement

51 Onderstaand wordt een overzicht gegeven van de verantwoordelijkheden van de raad, het college en functies binnen de ambtelijke organisatie, op basis van zowel de documenten als de interviews gegeven: Partij Concernstaf Afdelingshoofden en projectmanagers Risicocoördinator Gemeentesecretaris College B&W Gemeenteraad Verantwoordelijkheden - Controle van collegevoorstellen op juistheid en kwaliteit en de rode draad tussen deze voorstellen en verschaffen van terugkoppeling - Uitvoeren van doelmatigheids- en doeltreffendheidsonderzoeken - Adviseren directieteam (enkel concerncontroller) - Inventarisatie, identificatie en beheersing risico s - Nemen van acties - Coördinatie risicomanagement (na overname van risico-coördinator en verzekeringen) - Implementatie en uitvoering van risicomanagement - Inbedding risicomanagement in de organisatie (in eerste instantie) - Aanspreekpunt voor DT, college van B&W en raad - Sturing op de uitvoering van de verantwoordelijkheden van de ambtelijke organisatie - Borging binnen de ambtelijke organisatie - Controle op voorstellen (tijdelijk) - Aandragen risico s op strategisch niveau - Sturing en beheersing risico s - Opstellen beleidskaders - Vaststellen kaders risicomanagement - Aandragen risico s op strategisch niveau - Controleren middels paragraaf weerstandsvermogen In de praktijk zou er een onderscheid moeten zijn tussen de kaderstellende en de controlerende rol van de raad, de beleidsinvullende rol van het college B&W, en de uitvoerende rol van de ambtelijke organisatie. Alle partijen zouden daarbij een rol dienen in te vullen met betrekking tot het evalueren van het risicomanagement: het sturen, beheersen, verantwoorden en toezicht houden op het beleid en de uitvoering hiervan. Uit de documentenstudie blijkt dat op papier een onderscheid wordt gemaakt tussen de verschillende rollen. Uit de interviews blijkt echter dat dit niet volledig het geval is in de praktijk. De raad geeft daaromtrent aan dat de juiste ondersteuning nodig is van andere niveaus, om rolvastheid te garanderen. Daarnaast wordt in de interviews de kanttekening gemaakt dat het van belang is dat het management afdelingoverstijgend acteert. De geïnterviewde personen geven aan dat risicomanagement een decentralisatieslag nodig heeft. Op die manier kan er tevens meer risicobewustzijn worden gecreëerd. Realisatie hiervan wordt vooral gekoppeld aan de gemeentelijke reorganisatie Raad, college en ambtelijke organisatie kennen hun rol en verantwoordelijkheden in het kader van risicomanagement en acteren in de praktijk rolvast. Over het algemeen komt er uit de interviews naar voren dat zowel de raad, het college als de ambtelijke organisatie hun rol en verantwoordelijkheden in het kader van risicomanagement denken te kennen. Tegelijkertijd komt naar voren dat de rol en verantwoordelijkheden door anderen soms wordt gezien als zijnde voor verbetering vatbaar. 51 Rapportage risicomanagement

52 Voorbeelden hiervan zijn: Tijdens de interviews is aangegeven dat de raad ambitieus is. Hierdoor wordt er weinig geprioriteerd en stapelen de voorstellen zich op, terwijl de capaciteit er niet is om dit constructief op te pakken binnen de ambtelijke organisatie. Volgens geïnterviewden zou het college steviger kunnen acteren, om aan te geven dat prioritering niet alleen gewenst is maar zelfs strikt noodzakelijk, om niet in de spagaat te komen van op te leveren resultaten, doorvoeren van bezuinigingsoperaties en te weinig capaciteit/kwaliteit. Uit het raadsinterview blijkt dat er met betrekking tot het Programma Organisatieontwikkeling onder andere gesproken is over de verhouding tussen de verschillende rollen en rolvastheid. Volgens het raadspanel is er op het gebied van rolvastheid veel te winnen, door de rollen beter op elkaar af te stemmen. Momenteel gebeurt dit onvoldoende Het management vervult een voorbeeld- en voortrekkersrol ten aanzien van de identificatie en actualisatie van risico s en een adequate werking van het risicomanagementsysteem en de gewenste risicocultuur en gedrag. Uit de interviews blijk dat het management in een steeds grotere mate een voorbeeld- en voortrekkersrol vervult ten aanzien van de identificatie en actualisatie van risico s en een adequate werking van het risicomanagementsysteem, de gewenste risicocultuur en het gedrag. Binnen het opgestelde concernplan heeft de directie meerdere speerpunten opgesteld, waaronder risicomanagement. Afdelingshoofden beogen daarbij tevens om meer grip te krijgen op risicomanagement en dit te stroomlijnen. Zij stellen concrete acties op binnen de afdeling om dit te bewerkstelligen, deze zijn niet altijd formeel vastgelegd. Vanuit de raad is in het verleden gevraagd om een organisatie audit, dat heeft geleid tot een verkenning van een organisatieontwikkeling met als doel om de gemeente meer te richten en in te richten als een netwerkorganisatie. Meerdere projecten, welke elementen bevatten met betrekking tot risicomanagement, zijn onderdeel van het programma organisatieontwikkeling. Uit de interviews komt een verschil tussen opzet en werking naar voren. Er is behoefte aan een actievere voorbeeld- en voortrekkersrol van het management. Daarbij wordt het spanningsveld tussen enerzijds de ambtelijke organisatie en het college en anderzijds de raad genoemd als een aspect waar aandacht aan gegeven dient te worden. Dit heeft te maken met de afweging tussen ambities, capaciteit en middelen. 52 Rapportage risicomanagement

53 Norm 5: Beleid en uitvoering omtrent risico s en weerstandsvermogen hebben een cyclisch karakter Nr. Toetspunten 5.1 Risico s van substantieel belang worden tijdig door het college van B&W met de gemeenteraad gedeeld. 5.2 In de organisatie bestaat een werkend proces ( een cyclus ) van risicomanagement, dat is ingebed in de organisatie (bijv. in de planning-en-controlcyclus en/of beleidscyclus) en voorziet in evaluatie en bijsturing. 5.3 Risicomanagement maakt deel uit van de besluitvorming en in de besluitvormingsprocessen staat een toelichting over de effecten van besluiten. 5.4 Getroffen beheersmaatregelen worden periodiek geactualiseerd en beoordeeld op effectiviteit. Dit is geborgd binnen de systemen van de gemeente Risico s van substantieel belang worden tijdig door het college van B&W met de gemeenteraad gedeeld. De raad wordt via de begroting, de jaarrekening en de kadernota s geïnformeerd over voornamelijk financiële risico s. Daarnaast wordt de raad geïnformeerd door middel van raadsvoorstellen vanuit het college. Uit het raadsinterview komt naar voren dat de raad het idee heeft weliswaar geregeld vanuit de ambtelijke organisatie en het college te worden geïnformeerd over substantiële risico s, maar dat de tijdigheid hiervan te wensen overlaat. Uit de interviews met de ambtelijke organisatie en het college komt naar voren dat risico s worden gemeld wanneer men meent dat deze van belang zijn voor de besluitvorming In de organisatie bestaat een werkend proces ( een cyclus ) van risicomanagement dat is ingebed in de organisatie (bijv. in de planning-en-controlcyclus en/of beleidscyclus) en dat voorziet in evaluatie en bijsturing. In de begrotingen en de jaarrekeningen wordt verantwoording afgelegd over risico s. In de voorbereiding van de begrotingen en de jaarrekeningen worden risico s geëvalueerd. Daarnaast wordt er in de B&W-voorstellen een paragraaf gewijd aan risico s. In de interviews wordt aangegeven dat de B&W-voorstellen worden getoetst op volledigheid van de risico s. De risicoparagraaf wordt echter niet getoetst op de formulering van beheersmaatregelen per aangeduid risico. Een analyse betreffende de risicoparagraaf van verscheidene B&W-voorstellen uit voornamelijk het jaar 2015 toont dat de risicoparagraaf veelvuldig is ingevuld met niet van toepassing. Wanneer de risicoparagraaf wel is ingevuld, is er vaak geen specifiek risico vermeld. De enkele keren dat een specifiek risico wel wordt vermeld, wordt hier geen beheersmaatregel aan gekoppeld. De raadsvoorstellen bevatten geen aparte risicoparagraaf. Uit een analyse van de raadsvoorstellen kan worden geconcludeerd dat, wanneer concrete risico s worden vermeld, dit is opgenomen in de toelichting op de het voorstel. Wederom worden er geen beheersmaatregelen aan de risico s verbonden. 53 Rapportage risicomanagement

54 Uit de interviews komt naar voren dat risico s op verschillende wijzen worden gerapporteerd en dat deze zo veel mogelijk zijn gekoppeld aan de bestaande processen en procedures binnen de gemeente: 1. Per kwartaal in lijn met de P&C-cyclus. 2. Wanneer een belangrijk risico zich manifesteert op frequentere wijze. 3. Door middel van raadsadviezen en collegevoorstellen (zie tevens toetspunt 5.3). In het tweede implementatieplan (2014) wordt geconcludeerd dat risicomanagement (verder) ingebed dient te worden in de reguliere sturing en beheersing van de organisatie. Om dit te realiseren, is een tweede fasering van de implementatie van het risicomanagement opgezet. In aanvulling hierop is bij de GREX afgesproken dat er halfjaarlijks wordt gerapporteerd. Door een koppeling met de bestuursrapportages en de jaarrekening, wordt dit meegenomen in de begroting en wordt dit geactualiseerd. Verwacht wordt dat de ontwikkeling van de procesbeschrijvingen door middel van de SENSUSmethode zal leiden tot betere borging en een werkend proces, als gevolg van het beschrijven van zowel risicomanagement als proces als het opnemen van risicomanagement als onderdeel binnen andere processen. De ontwikkeling van de P&C-cyclus en met name het opnemen van risicomanagement binnen deze cyclus worden genoemd als punten die verbetering behoeven, hoewel de eerste stappen zijn gezet. Er wordt aangegeven dat dit cruciaal is voor de ontwikkeling van risicobewustzijn binnen de gemeente. Momenteel vindt men dat risicomanagement te veel ad hoc plaatsvindt. Een meer structureel karakter door inbedding in de organisatie leidt tot waarborging van de continuïteit van risicomanagement. Sturing op deze structurele verbetering wordt nodig geacht. De gemeentelijke reorganisatie wordt door de geïnterviewde personen gezien als een katalysator van deze inbedding, van de verbetering van het risicobewustzijn, en van een verdere professionalisering van het risicomanagement. Vanuit de casuïstiek moet echter worden geconcludeerd dat risicomanagement binnen het Programma Organisatieontwikkeling weinig specifieke aandacht krijgt. Het Programma brengt focus aan op de voorkant van een proces; planning, structuur, middelen en de afstemming hiertussen. Daarbij wordt er aandacht besteed aan de culturele aspecten, zoals communicatie. Onderdeel van deze gemeentelijke reorganisatie is de doorontwikkeling van de P&C cyclus en omvat het volgende: 1. Informatievoorziening naar de raad: beoogd wordt om het aantal bestuurlijke rapportages in 2015 terug te brengen van 6 per jaar naar 2 à 3 rapportages per jaar, die meer inhoudelijk zijn en meer mogelijkheden tot bijsturing bieden. 2. Informatievoorziening ambtelijke organisatie dient meer structureel te zijn Risicomanagement maakt deel uit van de besluitvorming en in besluitvormingsprocessen is een toelichting opgenomen over de effecten van besluiten. Uit de interviews komt naar voren dat de raad in het verleden om een organisatie-audit heeft gevraagd, met aandacht voor structuur en de cultuur van de organisatie, in het perspectief van de vraagstellingen vanuit de samenleving. Hier is het Programmaplan Organisatieontwikkeling uit voortgekomen. 54 Rapportage risicomanagement

55 Meerdere projecten maken deel uit van het programmaplan. Deze beogen om de grip en beheersing vanuit de gemeente te verbeteren. Risicomanagement is hier een onderdeel van. De besluitvorming vindt plaats aan de hand van college- en raadsvoorstellen. Uit de documentenstudie blijkt dat enkel de collegevoorstellen expliciet ruimte hebben voor vermelding van risico s, waardoor risico s onderdeel kunnen zijn van de besluitvorming. De raadsvoorstellen bevatten geen aparte risicoparagraaf. De belangrijkste (financiële) risico s worden, indien substantieel, eventueel opgenomen in de toelichting bij het voorstel. Om de kwaliteit van de besluitvorming te verbeteren, heeft de raad behoefte aan meer inzicht in mogelijke beheersmaatregelen, om risico s te verkleinen. Bij de besluitvorming speelt niet alleen de procedure, maar ook het risicobewustzijn als zodanig een rol. Uit de interviews met de ambtelijke organisatie en het college komt naar voren dat zij het risicobewustzijn van de raad voor verbetering vatbaar vinden. Met name is er onvoldoende oog voor de risico s als gevolg van de beperkte beschikbare ambtelijke capaciteit. De raad daarentegen meent dat risicobewustzijn onvoldoende op de agenda staat binnen de ambtelijke organisatie en dat dit effect heeft op de kwaliteit van de risicotoelichting aan de raad. De voorstellen wordt getoetst door de concernstaf. Deze toetsing betreft alle aspecten van de voorstellen, zowel inhoudelijk als procedureel. Hierbij wordt overigens niet expliciet gekeken naar beheersmaatregelen Getroffen beheersmaatregelen worden periodiek geactualiseerd en beoordeeld op effectiviteit. Dit is geborgd binnen de systemen van de gemeente. Risico s worden geregistreerd in het systeem NARIS. Binnen dit systeem is het, zoals aangegeven in het tweede implementatieplan (2014), mogelijk om per risico op de risicokaart aan te geven welke maatregelen noodzakelijk zijn om het desbetreffende risico te beperken. Dit vindt nog niet structureel plaats en maakt deel uit van de tweede fase van de implementatie. Verder zijn periodiek onderhoud en de bekendheid met het systeem punten van aandacht. Uit de interviews komt naar voren dat niet iedereen met dit systeem bekend is. Uit andere documenten blijkt dat veelal geen maatregelen voor een risico zijn geformuleerd en dat de nut en de noodzaak van de maatregel niet worden toegelicht. Daarmee is een toets op de actualisering en effectiviteit van de risicobeheersing niet mogelijk. Dit wordt bevestigd in de interviews. Een risico dat hierin wordt herkend, is dat er in de praktijk onvoldoende structuur wordt gegeven aan het actief beheersen van risico s. Daarbij is er vanuit het college en de raad behoefte aan meer inzicht in alternatieven wanneer een risico is geïdentificeerd. 55 Rapportage risicomanagement

56 Norm 6: Er zijn adequate instrumenten om de uitvoering van het beleid met betrekking tot risico s en weerstandsvermogen te ondersteunen Nr. Toetspunten 6.1 De ambtelijke organisatie wordt ondersteund door interne en/of externe specialisten op het gebied van risicomanagement. 6.2 De informatie die essentieel is voor risicomanagement is eenduidig, eenvoudig en toegankelijk vastgelegd. 6.3 De aan de gemeenteraad verstrekte informatie is effectief voor de raad om zijn kaderstellende en controlerende taak te kunnen uitvoeren. 6.4 Structureel worden opleidingen en trainingen aangeboden ten aanzien van risicomanagement, om een juiste uitvoering van het beleid, de gewenste cultuur en competenties te ondersteunen. 6.5 Periodiek vindt er communicatie plaats over risicomanagement, bijvoorbeeld over het belang van risicomanagement en de betekenis van het bedrag of de ratio met betrekking tot het weerstandsvermogen De ambtelijke organisatie wordt ondersteund door interne en/of externe specialisten op het gebied van risicomanagement. Binnen de organisatie is ten behoeve van de uitrol en uitvoering van risicomanagement een risico-coördinator aangesteld. Uit de interviews blijkt dat voornamelijk de concernstaf ondersteuning biedt aan de opzet van risicomanagement binnen de afdeling. Er is tevens aangegeven door meerdere geïnterviewde personen dat zij geen tot weinig contact hebben met de aangestelde risico-coördinator. Daarnaast zijn er incidentele presentaties verzorgd door mensen van het Nederlands Adviesbureau Risicomanagement (NAR) De informatie die essentieel is voor risicomanagement is eenduidig, eenvoudig en toegankelijk vastgelegd. Uit de documentenstudie blijkt dat de risico-coördinator verantwoordelijk is geweest voor het opbouwen en onderhouden van een centraal risicodossier en een risicodatabase (NARIS), met als doel eenduidige registratie en afweging van risico s. De toegankelijkheid van deze database is afhankelijk van de toekenning van een licentie. Er zijn momenteel in totaal twee licenties binnen de organisatie voor het risicomanagementsysteem, zoals blijkt uit de interviews. Deze licenties zijn aangevraagd voor de risico-coördinator en de gemeentesecretaris. Hiermee is de toegankelijkheid van de informatie essentieel voor risicomanagement beperkt. Binnen het systeem is de gemeentesecretaris in de huidige situatie verantwoordelijk voor alle risico s. Vanwege systeembeperkingen ten aanzien van het bewerken van informatie is het momenteel niet mogelijk om de verantwoordelijkheid meer decentraal neer te leggen. De vastgelegde informatie is eenduidig en eenvoudig. Beheersmaatregelen dienen nog te worden geborgd in het systeem. 56 Rapportage risicomanagement

57 6.3. De aan de gemeenteraad verstrekte informatie is effectief voor de raad om zijn kaderstellende en controlerende taak te kunnen uitvoeren. Uit de documentenstudie komt naar voren dat het college en de raad breder geïnformeerd kunnen worden over risico s en kansen dan enkel via een paragraaf weerstandsvermogen. Dit is in 2014 deels aangepakt door het vermelden van de belangrijkste wijzigingen in tussentijdse bestuursrapportages. Uit de interviews blijkt dat raad en college goed worden geïnformeerd over de geïnventariseerde risico s met financiële impact en dat hier sinds 2008 behoorlijke stappen in zijn gezet. De ambtelijke organisatie zou de raad en het college meer kunnen informeren over mogelijke beheersmaatregelen. Volgens de geïnterviewde personen gebeurt dit momenteel weinig, mede als gevolg van de risicomijdende cultuur in de organisatie. In het algemeen zou de raad informatie willen hebben, ook over risico s. Men verwacht dat het college de raad hierin ondersteunt. De ambtelijke organisatie heeft behoefte aan duidelijkere kaders vanuit de raad en het college, ter bevordering van het risicobewustzijn binnen de organisatie Structureel worden opleidingen en trainingen aangeboden ten aanzien van risicomanagement, om een juiste uitvoering van het beleid, de gewenste cultuur en competenties te ondersteunen. Uit de documentenstudie komt naar voren dat er veel behoefte is aan meer inzicht en kennis met betrekking tot risicomanagement. Dit komt terug bij alle belanghebbenden; hierbij is voor de raad sturing een belangrijk onderwerp. In 2012 zijn er diverse presentaties over risicomanagement gegeven, aan verschillende belanghebbenden. In het tweede implementatieplan (2014) wordt de organisatie van kennissessies als actie benoemd. Deze sessies worden georganiseerd om het bewustzijn te vergroten en te creëren. Echter, het is onbekend wanneer deze plaatsvinden Periodiek vindt er communicatie plaats over risicomanagement, bijvoorbeeld over het belang van risicomanagement en over de betekenis van het bedrag of de ratio met betrekking tot het weerstandsvermogen. Binnen de gemeente Utrechtse Heuvelrug bestaan diverse vormen van communicatie over risicomanagement. Voorbeelden hiervan zijn: begrotingen, jaarrekening, raads- en collegevoorstellen. Een andere vorm van communicatie in het kader van risicomanagement vindt plaats in opleidingen en trainingen, zoals opgenomen in toetspunt 6.4. Verder vindt er overleg plaats over de bepaling van het weerstandsvermogen, de ratio en de beschikbare financiële middelen tussen de clustercoördinatoren en een interne expert financiën. De risico-coördinator houdt contact en is het aanspreekpunt voor het DT, de raad en het college. Uit de interviews blijkt dat risico s in meerdere overleggen aan de orde komen, maar risicomanagement fungeert slechts incidenteel als apart agendapunt. 57 Rapportage risicomanagement

58 Bijlage 3 Geraadpleegde bronnen Naam document - Algemeen Datum 07 c 1 DT voorstel 422 Vaststelling conceptplan van aanpak RI en E okt c 2 Rapport uitvoering RIE Gemeente Utrechtse Heuvelrug - definitief_s_d _1 jan c 3 Gemeente Utrechtse Heuvelrug ingevuld concept PvA_S_D _1 okt-14 Managementletter EY jan-15 Managementletter 2012 jan-13 Format collegevoorstel feb-15 Kopie BL Gemeente Utrechtse Heuvelrug jan-14 MM Utrechtse Heuvelrug presentatie en detailbevindingen DEF nov-13 Notulen managementmeetings 2013 jan-14 Presentatie NAR okt-12 Presentatie raad risicoperceptie dec-12 Presentatie risicomanagement en weerstandsvermogen huisstijl apr-10 Presentatie Paragraaf weerstandsvermogen okt 2012 jul-12 Eindrapport weerstandsvermogen sep-08 Risicomanagement en de gemeente Utrechtse Heuvelrug onbekend Kadernota risicomanagement mrt-11 Raadsbesluit risicomanagement apr-11 Raadsvoorstel risicomanagement mrt-11 Risicomanagement presentatie collega's okt 2012 okt-12 Risicomanagement presentatie Platform Middelgrote Gemeenten 13 februari 2013 feb-13 Risicomanagement presentatie raad 2012 okt-12 Risicomanagement presentatie raadinformatieavond 14 februari 2013 feb-13 Voorstel implementatie NARIS okt-10 Licentie-overeenkomst NARIS nov-10 Risico-onderzoek t.b.v. begroting 2015 onbekend Risk man t.b.v. college en raad onbekend VRI scholen mrt-12 Notitie t.b.v. gesprekken met DT onbekend Ontwikkelvisie risicomanagement onbekend Overzicht opgevoerde risico's onbekend Paragraaf weerstandsvermogen begroting Paragraaf weerstandsvermogen en risicobeheersing begr Hoe zetten wij het risicomanagement in de organisatie onbekend interview risicomanagement OR WB nov-11 Vragenlijst afd. VGP dec-11 Advies aan het DT risicomanagement mrt-13 Advies B&W kadernota risicomanagement 2011 Beknopt plan van aanpak invoering risicomanagement mei-14 Bepalen context onbekend Het risicomanagement en de organisatie onbekend Financiële verordening 2011 okt-2010 Rapport audit Utrechtse Heuvelrug - Staat van de ambtelijke organisatie feb-14 Register bij het Algemeen mandaat- machtigings- en volmachtbesluit 2015 versie februari feb-15 Implementatieplan risicomanagement 1.0 feb-11 Paragraaf weerstandsvermogen begroting Paragraaf weerstandsvermogen en risicobeheersing begroting Jaarrekening (2) jun-14 Rapportage Legal Audit mrt-13 Paragraaf Bezuinigingen jaarrekening Concept-Nota Verbonden Partijen feb bmf Placemat apr bmf Placemat Toelichting apr-15 Advies aan B&W - CV dienstreis burgemeester mei-15 Advies aan B&W ODRU Progbegroting &jaarstukken 2014 apr-15 Stukken bij advies aan B&W Memo ODRU Progbegroting &jaarstukken 2014 mei Rapportage risicomanagement

59 Stukken bij advies aan B&W Concept producten- en dienstencatalogus 2015 ODRU apr-2015 Progbegroting &jaarstukken 2014 Stukken bij advies aan B&W Raadsbesluit ODRU Progbegroting &jaarstukken 2014 jun-15 Stukken bij advies aan B&W Raadsvoorstel ODRU Progbegroting &jaarstukken 2014 mei-15 Stukken bij advies aan B&W Zienswijze ODRU Progbegroting &jaarstukken 2014 mei-15 Stukken bij advies aan B&W - Brief opdracht integrale jeugdzorg aan GGDrU mrt-15 Advies aan B&W - opdracht integrale jeugdzorg aan GGDrU mei-15 Advies aan B&W Vaststelling evaluatierapport herinrichting Engweg Driebergen mei-15 Stukken bij advies aan B&W - Rapport evaluatie herinrichting Engweg Driebergen 2015 Stukken bij advies aan B&W Raadsinformatiebrief evaluatie herinrichting Engweg Driebergen mei-15 Stukken bij advies aan B&W Resultaten verkeerstellingen Engweg Driebergen 2015 Advies aan B&W CV Begroting IW mei-15 Stukken bij advies aan B&W Raadsvoorstel CV Begroting IW mei-15 Stukken bij advies aan B&W Raadsbesluit CV Begroting IW mei-15 Stukken bij advies aan B&W Concept jaarrapport 2014 CV Begroting IW apr-15 Stukken bij advies aan B&W Concept begroting 2016 CV Begroting IW apr-15 Stukken bij advies aan B&W Brief zienswijze CV Begroting IW Advies aan B&W 1 ste financiële bestuursrapportage 2015 apr-15 Stukken bij advies aan B&W 1 ste financiële bestuursrapportage Stukken bij advies aan B&W Raadsvoorstel 1 ste financiële bestuursrapportage 2015 mei-15 Stukken bij advies aan B&W Raadsbesluit 1 ste financiële bestuursrapportage 2015 jun-15 Productenboek afdeling Openbare ruimte 2014 Organisatieplan Openbare Ruimte Hoofdstructuur dec-13 Organisatieplan fijnstructuur BORA jun-14 Afdeling urenplanning BORA 2015 Afdelingsplan doelenboom klantcontactcentrum apr-15 Afdelingsplan doelenboom maatschappelijke ontwikkeling feb-15 Afdelingsplan Servicecentrum feb-15 Speerpunten afdelingsplan Bestuursondersteuning dec-14 Raadsvoorstel normenkader okt-12 Stukken bij Raadsvoorstel Normenkader 2012 okt-12 Raadsbesluit normenkader okt-12 Raadsvoorstel realisatiekrediet uitbreiding Beukenrode Onderwijs okt-12 Raadsbesluit realisatiekrediet uitbreiding Beukenrode Onderwijs okt-12 Stukken bij Raadsvoorstel reserve tijdelijke huisvesting en onderhoud scholen okt-12 Advies aan B&W Evaluatie Kersweg Amerongen mei-15 Stukken bij advies aan B&W Rapportage evaluatie Kersweg Amerongen mei-15 Stukken bij advies aan B&W Samenvatting telresultaten Kersweg Amerongen 2014 Stukken bij advies aan B&W Raadsinformatiebrief evaluatie Kersweg Amerongen mei-15 Raadsvoorstel Regionaal Risicoprofiel actualisatie 2014 Veiligheidsregio Utrecht feb-15 Raadsvoorstel Overname BIGA Groep BV mrt-15 Raadsvoorstel Vaststellen Meerjaren Perspectief Grondexploitaties (MPG) op de stand per mrt-15 Raadsvoorstel gedragscode bestuurlijke integriteit voor collegeleden aug-14 Afdelingsplan doelenboom Ruimtelijke Ordening feb Rapportage risicomanagement

60 Naam document - Casuïstiek Datum Organisatieplan Openbare Ruimte Hoofdstructuur dec-13 Organisatieplan fijnstructuur BORA jun-14 Afdeling urenplanning BORA 2015 Processenhuis Utrechtse Heuvelrug onbekend Beleidsschema onbekend Productenboek afdeling Openbare ruimte 2014 Advies aan B&W Uitgangspunten aanpassing Speelruimtebeleidsplan jan-13 Stukken bij advies aan B&W Raadsinformatiebrief uitgangspunten aanpassing jan-13 Speelruimtebeleidsplan Stukken bij advies aan B&W Uitgangspunten aanpassing Speelruimtebeleidsplan jan-13 Stukken bij advies aan B&W Ombuigvoorstel speelvoorzieningen jan-13 Advies aan B&W Vermindering speeltoestellen nov-13 Stukken bij advies aan B&W Memo Uitgangspunten aanpassing Speelruimtebeleidsplan nov-12 Stukken bij advies aan B&W Advies Jongerenraad uitgangspunten aanpassing dec-12 Speelruimtebeleidsplan Stukken bij advies aan B&W Speelplaatsen overzichten nov-13 Advies aan B&W Herinrichting Hoofdstraat te Driebergen-Rijsenburg jan-13 Stukken bij advies aan B&W Raadsinformatiebrief voortgang herinrichting Hoofdstraat te feb-13 Driebergen-Rijsenburg Stukken bij advies aan B&W Startnotitie herinrichting Hoofdstraat te Driebergen-Rijsenburg jan-13 Advies aan B&W Herinrichting Hoofdstraat te Driebergen-Rijsenburg mei-13 Stukken bij advies aan B&W Projectplan herinrichting Hoofdstraat te Driebergen-Rijsenburg mei-13 Stukken bij advies aan B&W Raadsinformatiebrief voortgang herinrichting Hoofdstraat te mei-13 Driebergen-Rijsenburg Advies aan B&W Herinrichting Hoofdstraat te Driebergen-Rijsenburg aug-13 Stukken bij advies aan B&W Raadsinformatiebrief voortgang herinrichting Hoofdstraat te sep-13 Driebergen-Rijsenburg Stukken bij advies aan B&W Ontwerpen herinrichting Hoofdstraat te Driebergen-Rijsenburg aug-13 Advies aan B&W Herinrichting Hoofdstraat te Driebergen-Rijsenburg jun-13 Stukken bij advies aan B&W Update ontwerpen herinrichting Hoofdstraat te Driebergen- jun-13 Rijsenburg Stukken bij advies aan B&W Toelichting ontwerpen herinrichting Hoofdstraat te Driebergen- jun-13 Rijsenburg Stukken bij advies aan B&W Presentatie ontwerpen herinrichting Hoofdstraat te Driebergen- jun-13 Rijsenburg Stukken bij advies aan B&W Toelichting ontwerpen herinrichting Hoofdstraat te Driebergen- jun-13 Rijsenburg Stukken bij advies aan B&W Overzicht knelpunten en oplossingen ontwerpen herinrichting jun-13 Hoofdstraat te Driebergen-Rijsenburg Advies aan B&W Herinrichting Bosstraat feb-13 Stukken bij advies aan B&W Raadsinformatiebrief herinrichting Bosstraat feb-13 Stukken bij advies aan B&W Ontwerpen Bosstraat feb-13 Stukken bij advies aan B&W Startnotitie herinrichting Bosstraat feb-13 Advies aan B&W Herinrichting Bosstraat mei-13 Stukken bij advies aan B&W Raadsinformatiebrief voortgang herinrichting Bosstraat jun-13 Stukken bij advies aan B&W Projectplan herinrichting Bosstraat mei-13 Integraal gemeentelijk definitiedocument herinrichting Bosstraat nov-13 Beheerplan Wegen mrt-09 Beheerplan Bomen mrt-09 Beheerplan Bos en natuurterreinen mrt-09 Raadsvoorstel beheerplannen Openbare Ruimte apr-09 Raadsbesluit beheerplannen mei-09 Projectenlijst realisatie BORA mei-15 Projectadministratie vervanging riolering Dennenhorst jun-15 MT-verslag BORA apr-15 Kwaliteitsplan beheer Openbare Ruimte jun-09 Kwaliteitsplan beheer Openbare Ruimte Kwaliteitsbladen jun-09 Voortgangsoverzicht Organisatieontwikkeling jun-15 Programmaplan Organisatieontwikkeling aug Rapportage risicomanagement

61 Raadsinformatiebrief voortgang en doelen Organisatieontwikkeling mei-15 Belangenanalyse doelgroepen Organisatieontwikkeling mei-15 Projectplan Project- en Programmasturing mei-15 Projectplan fijnstructuur Sociale Dienstverlening 2014 Communicatie- en participatieplan mei-15 Projectplan Procesmatig werken 2014 Projectplan Interne dienstverlening 2014 Programmastructuur Organisatieontwikkeling jul-14 Totaalplanning feb Rapportage risicomanagement

62 Bijlage 4 Overzicht geïnterviewde personen Naam Rob van de Hoek Gera Hensbergen Joost Scheltinga Tim Verhoef Rob Jorg Johan Klaassen Hermannus Stegeman Jan Willem van Dongen Marjan Havekes Daan van der Sleen Ab van de Craats Beja Burema Jaap Naaktgeboren Gerrit Beumer Arjan van der Blom John Joosten Roel ter Horst Karola Vos Albert van Dijk Lenny Putman Functie Raadslid Raadslid Raadslid Raadslid Raadslid Raadslid Raadslid Wethouder Gemeentesecretaris Directielid Afdelingshoofd Vastgoed, Grondzaken en Projecten Afdelingshoofd Maatschappelijke Ontwikkeling Concerncontroller Risicocoördinator Medewerker Financiën Adviseur Informatisering Afdelingshoofd Openbare Ruimte Programmamanager Organisatieontwikkeling & Strategisch P&O-adviseur Medewerker Wijkbeheer Clustercoördinator Bouwen, Wonen, Werken en Milieu & Beleidsmedewerker Milieu, Klimaat en Duurzaamheid 62 Rapportage risicomanagement

63 Bijlage 5 Interviewleidraad 63 Rapportage risicomanagement